–

pentru UF și AB, de R. Rohrmoser și S. Tintemann, Rechtsanwälte;

–

pentru Land Hessen, de M. Kottmann și G. Ziegenhorn, Rechtsanwälte;

–

pentru SCHUFA Holding AG, de G. Thüsing și U. Wuermeling, Rechtsanwalt;

–

pentru guvernul german, de J. Möller și P.‑L. Krüger, în calitate de agenți;

–

pentru guvernul portughez, de P. Barros da Costa, J. Ramos și C. Vieira Guerra, în calitate de agenți;

–

pentru Comisia Europeană, de A. Bouchagiar, F. Erlbacher, H. Kranenborg și W. Wils, în calitate de agenți,

1

Cererile de decizie preliminară privesc interpretarea articolelor 7 și 8 din Carta drepturilor fundamentale a Uniunii Europene (denumită în continuare „carta”), precum și a articolului 6 alineatul (1) primul paragraf litera (f), a articolului 17 alineatul (1) litera (d), a articolului 40, a articolului 77 alineatul (1) și a articolului 78 alineatul (1) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, rectificare în JO 2018, L 127, p. 2, denumit în continuare „RGPD”).

2

Aceste cereri au fost formulate în cadrul a două litigii între UF (cauza C‑26/22) și AB (cauza C‑64/22), pe de o parte, și Land Hessen (landul Hessen, Germania), pe de altă parte, în legătură cu refuzul Hessischer Beauftragter für Datenschutz und Informationsfreiheit (Comisarul landului Hessen pentru Protecția Datelor și Libertatea de Informare, Germania) (denumit în continuare „HBDI”) de a obliga SCHUFA Holding AG (denumită în continuare „SCHUFA”) să efectueze ștergerea datelor stocate de aceasta referitoare la liberările de restul de datorie în favoarea UF și a AB.

3

Potrivit considerentelor (26) și (28) ale Directivei 2008/48/CE a Parlamentului European și a Consiliului din 23 aprilie 2008 privind contractele de credit pentru consumatori și de abrogare a Directivei 87/102/CEE a Consiliului (JO 2008, L 133, p. 66):

[…]

4

Articolul 8 din această directivă, intitulat „Obligația de a evalua bonitatea consumatorului”, prevede la alineatul (1):

„Statele membre se asigură că, înainte de încheierea unui contract de credit, creditorul evaluează, atunci când este cazul, bonitatea consumatorului pe baza unui volum suficient de informații obținute de la consumator și, dacă este necesar, pe baza consultării bazei de date relevante. Statele membre a căror legislație prevede obligația evaluării bonității consumatorilor de către creditori, pe baza consultării bazei de date relevante, pot menține această obligație.”

5

Potrivit considerentelor (55) și (59) ale Directivei 2014/17/UE a Parlamentului European și a Consiliului din 4 februarie 2014 privind contractele de credit oferite consumatorilor pentru bunuri imobile rezidențiale și de modificare a Directivelor 2008/48/CE și 2013/36/UE și a Regulamentul (UE) nr. 1093/2010 (JO 2014, L 60, p. 34):

[…]

6

Articolul 18 din această directivă, intitulat „Obligația de a evalua bonitatea consumatorului”, prevede la alineatul (1):

„Statele membre se asigură că, înainte de încheierea unui contract de credit, creditorul efectuează o evaluare amănunțită a bonității consumatorului. Evaluarea respectivă ține seama în mod adecvat de factorii care sunt relevanți pentru a verifica probabilitatea îndeplinirii de către consumator a obligațiilor care îi revin în temeiul contractului de credit.”

7

Articolul 21 din directiva menționată, intitulat „Accesul la baze de date”, prevede la alineatele (1) și (2):

„(1)   Fiecare stat membru asigură accesul tuturor creditorilor din toate statele membre la bazele de date utilizate în statul membru respectiv pentru evaluarea bonității consumatorilor și pentru scopul exclusiv de a monitoriza respectarea de către consumatori a obligațiilor legate de credit pe toată durata contractului de credit. Condițiile de acces sunt nediscriminatorii.

(2)   Alineatul (1) se aplică atât bazelor de date care sunt administrate de birouri de credit private sau de agenții de informații privind creditele, cât și registrelor publice.”

8

Potrivit considerentului (76) al Regulamentului (UE) 2015/848 al Parlamentului European și al Consiliului din 20 mai 2015 privind procedurile de insolvență (JO 2015, L 141, p. 19):

„În vederea unei mai bune informări a creditorilor și a instanțelor relevante și pentru a preveni deschiderea de proceduri paralele de insolvență, statele membre ar trebui să aibă obligația de a publica informațiile relevante în cazurile transfrontaliere de insolvență într‑un registru electronic, accesibil publicului. Pentru a facilita accesul creditorilor domiciliați în alt stat membru și al instanțelor cu sediul în alt stat membru la aceste informații, prezentul regulament ar trebui să prevadă interconectarea unor astfel de registre de insolvență prin intermediul portalului european e‑Justiție. […]”

9

Articolul 79 din acest regulament, intitulat „Responsabilitățile statelor membre cu privire la prelucrarea datelor cu caracter personal în registrele naționale de insolvență”, prevede la alineatele (4) și (5):

„(4)   Statele membre răspund, în conformitate cu Directiva 95/46/CE [a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO 1995, L 281, p. 31, Ediție specială, 13/vol. 17, p. 10)], de colectarea și stocarea datelor în bazele de date naționale, precum și de deciziile luate cu privire la punerea acestor date la dispoziție în registrul interconectat care poate fi consultat prin intermediul portalului european e‑Justiție.

(5)   Ca parte a informațiilor care ar trebui furnizate persoanelor vizate astfel încât să li se permită să își exercite drepturile, în special dreptul la ștergerea datelor, statele membre informează persoanele vizate în legătură cu perioada de accesibilitate stabilită pentru datele cu caracter personal stocate în registrele de insolvență.”

10

Potrivit considerentelor (10), (11), (47), (50), (98), (141) și (143) ale RGPD:

[…]

[…]

[…]

[…]

[…]

11

Articolul 5 din acest regulament, intitulat „Principii legate de prelucrarea datelor cu caracter personal”, are următorul cuprins:

„(1)   Datele cu caracter personal sunt:

[…]

[…]

(2)   Operatorul este responsabil de respectarea alineatului (1) și poate demonstra această respectare («responsabilitate»).”

12

Articolul 6 din regulamentul menționat, intitulat „Legalitatea prelucrării”, prevede:

„(1)   Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții:

[…]

[…]

(4)   În cazul în care prelucrarea în alt scop decât cel pentru care datele cu caracter personal au fost colectate nu se bazează pe consimțământul persoanei vizate sau pe dreptul Uniunii sau dreptul intern, care constituie o măsură necesară și proporțională într‑o societate democratică pentru a proteja obiectivele menționate la articolul 23 alineatul (1), operatorul, pentru a stabili dacă prelucrarea în alt scop este compatibilă cu scopul pentru care datele cu caracter personal au fost colectate inițial, ia în considerare, printre altele:

13

Articolul 17 din RGPD, intitulat „Dreptul la ștergerea datelor («dreptul de a fi uitat»)”, prevede la alineatul (1):

„Persoana vizată are dreptul de a obține din partea operatorului ștergerea datelor cu caracter personal care o privesc, fără întârzieri nejustificate, iar operatorul are obligația de a șterge datele cu caracter personal fără întârzieri nejustificate în cazul în care se aplică unul dintre următoarele motive:

[…]

[…]”

14

Articolul 21 din acest regulament, intitulat „Dreptul la opoziție”, prevede la alineatele (1) și (2):

„(1)   În orice moment, persoana vizată are dreptul să se opună, din motive legate de situația particulară în care se află, prelucrării în temeiul articolului 6 alineatul (1) litera (e) sau (f), a datelor cu caracter personal care o privesc, inclusiv creării de profiluri pe baza respectivelor dispoziții. Operatorul nu mai prelucrează datele cu caracter personal, cu excepția cazului în care operatorul demonstrează că are motive legitime și imperioase care justifică prelucrarea și care prevalează asupra intereselor, drepturilor și libertăților persoanei vizate sau că scopul este constatarea, exercitarea sau apărarea unui drept în instanță.

(2)   Atunci când prelucrarea datelor cu caracter personal are drept scop marketingul direct, persoana vizată are dreptul de a se opune în orice moment prelucrării în acest scop a datelor cu caracter personal care o privesc, inclusiv creării de profiluri, în măsura în care este legată de marketingul direct respectiv.”

15

Articolul 40 din regulamentul menționat, intitulat „Coduri de conduită”, prevede la alineatele (1), (2) și (5):

„(1)   Statele membre, autoritățile de supraveghere, comitetul și Comisia [Europeană] încurajează elaborarea de coduri de conduită menite să contribuie la buna aplicare a prezentului regulament, ținând seama de caracteristicile specifice ale diverselor sectoare de prelucrare și de nevoile specifice ale microîntreprinderilor și ale întreprinderilor mici și mijlocii.

(2)   Asociațiile și alte organisme care reprezintă categorii de operatori sau de persoane împuternicite de operatori pot pregăti coduri de conduită sau le pot modifica sau extinde pe cele existente, în scopul de a specifica modul de aplicare a prezentului regulament, cum ar fi în ceea ce privește:

[…]

(5)   Asociațiile și alte organisme menționate la alineatul (2) din prezentul articol care intenționează să pregătească un cod de conduită sau să modifice sau să extindă un cod existent transmit proiectul de cod, de modificare sau de extindere autorității de supraveghere care este competentă în temeiul articolului 55. Autoritatea de supraveghere emite un aviz cu privire la conformitatea cu prezentul regulament a proiectului de cod, de modificare sau de extindere și îl aprobă în cazul în care se constată că acesta oferă garanții adecvate suficiente.”

16

Articolul 51 din RGPD, intitulat „Autoritatea de supraveghere”, prevede la alineatul (1):

„Fiecare stat membru se asigură că una sau mai multe autorități publice independente sunt responsabile de monitorizarea aplicării prezentului regulament, în vederea protejării drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea și în vederea facilitării liberei circulații a datelor cu caracter personal în cadrul Uniunii («autoritatea de supraveghere»).”

17

Articolul 52 din acest regulament, intitulat „Independență”, prevede la alineatele (1), (2) și (4):

„(1)   Fiecare autoritate de supraveghere beneficiază de independență deplină în îndeplinirea sarcinilor sale și exercitarea competențelor sale în conformitate cu prezentul regulament.

(2)   Membrul sau membrii fiecărei autorități de supraveghere, în cadrul îndeplinirii sarcinilor și al exercitării competențelor sale (lor) în conformitate cu prezentul regulament, rămâne (rămân) independent (independenți) de orice influență externă directă sau indirectă și nici nu solicită, nici nu acceptă instrucțiuni de la o parte externă.

[…]

(4)   Fiecare stat membru se asigură că fiecare autoritate de supraveghere beneficiază de resurse umane, tehnice și financiare, de un sediu și de infrastructura necesară pentru îndeplinirea sarcinilor și exercitarea efectivă a competențelor sale, inclusiv a celor care urmează să fie aplicate în contextul asistenței reciproce, al cooperării și al participării în cadrul comitetului.”

18

Articolul 57 din regulamentul menționat, intitulat „Sarcini”, prevede la alineatul (1):

„Fără a aduce atingere altor sarcini stabilite în temeiul prezentului regulament, fiecare autoritate de supraveghere, pe teritoriul său:

[…]

[…]”

19

Articolul 58 din RGPD, intitulat „Competențe”, enumeră, la alineatul (1), competențele de investigare de care dispune fiecare autoritate de supraveghere și, la alineatul (2), măsurile corective pe care aceasta le poate adopta.

20

Articolul 77 din acest regulament, intitulat „Dreptul de a depune o plângere la o autoritate de supraveghere”, prevede:

„(1)   Fără a aduce atingere oricăror alte căi de atac administrative sau judiciare, orice persoană vizată are dreptul de a depune o plângere la o autoritate de supraveghere, în special în statul membru în care își are reședința obișnuită, în care se află locul său de muncă sau în care a avut loc presupusa încălcare, în cazul în care consideră că prelucrarea datelor cu caracter personal care o vizează încalcă prezentul regulament.

(2)   Autoritatea de supraveghere la care s‑a depus plângerea informează reclamantul cu privire la evoluția și rezultatul plângerii, inclusiv posibilitatea de a exercita o cale de atac judiciară în temeiul articolului 78.”

21

Articolul 78 din regulamentul menționat, intitulat „Dreptul la o cale de atac judiciară eficientă împotriva unei autorități de supraveghere”, prevede la alineatele (1) și (2):

„(1)   Fără a aduce atingere oricăror alte căi de atac administrative sau nejudiciare, fiecare persoană fizică sau juridică are dreptul de a exercita o cale de atac judiciară eficientă împotriva unei decizii obligatorii din punct de vedere juridic a unei autorități de supraveghere care o vizează.

(2)   Fără a aduce atingere oricăror alte căi de atac administrative sau nejudiciare, fiecare persoană vizată are dreptul de a exercita o cale de atac judiciară eficientă în cazul în care autoritatea de supraveghere care este competentă în temeiul articolelor 55 și 56 nu tratează o plângere sau nu informează persoana vizată în termen de trei luni cu privire la progresele sau la soluționarea plângerii depuse în temeiul articolului 77.”

22

Articolul 79 din RGPD, intitulat „Dreptul la o cale de atac judiciară eficientă împotriva unui operator sau a unei persoane împuternicite de operator”, prevede la alineatul (1):

„Fără a aduce atingere vreunei căi de atac administrative sau nejudiciare disponibile, inclusiv dreptului de a depune o plângere la o autoritate de supraveghere în temeiul articolului 77, fiecare persoană vizată are dreptul de a exercita o cale de atac judiciară eficientă în cazul în care consideră că drepturile de care beneficiază în temeiul prezentului regulament au fost încălcate ca urmare a prelucrării datelor sale cu caracter personal fără a se respecta prezentul regulament.”

23

Potrivit articolului 9 alineatul (1) din Insolvenzordnung (Codul insolvenței) din 5 octombrie 1994 (BGBl. 1994 I, p. 2866), în versiunea aplicabilă situației de fapt din litigiile principale:

„Publicitatea oficială se realizează prin intermediul unei publicări pe internet la nivel central și al Länder; aceasta poate fi efectuată în extras. În acest scop, debitorul trebuie identificat cu precizie, în special prin indicarea adresei și a domeniului său comercial. Se consideră că publicitatea este efectivă la două zile de la data publicării.”

24

Articolul 3 din Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (Regulamentul privind publicitatea oficială difuzată pe internet în cadrul procedurilor de insolvență) din 12 februarie 2002 (BGBl. I, p. 677, denumit în continuare „InsoBekV”) prevede la alineatele (1) și (2):

„(1)   Publicarea într‑un sistem electronic de informare și de comunicare a datelor provenite dintr‑o procedură de insolvență, inclusiv din procedura de deschidere, este ștearsă în termen de cel mult șase luni de la anularea procedurii de insolvență sau de la data la care suspendarea acestei proceduri a rămas definitivă. În cazul nedeschiderii procedurii, termenul începe să curgă de la anularea măsurilor asigurătorii publicate.

(2)   În ceea ce privește publicările din cadrul procedurii de liberare de restul de datorie, inclusiv ordonanța menționată la articolul 289 din Codul insolvenței, se aplică alineatul (1) prima teză, cu condiția ca termenul să înceapă să curgă de la data la care decizia privind liberarea de restul de datorie devine definitivă.”

25

În cadrul procedurilor de insolvență care li se aplică, UF și AB au beneficiat de decizii judecătorești de liberare anticipată de restul de datorie, care au fost pronunțate la 17 decembrie 2020 și, respectiv, la 23 martie 2021. Conform articolului 9 alineatul (1) din Codul insolvenței, precum și articolului 3 alineatele (1) și (2) din InsoBekV, publicitatea oficială pe internet a acestor decizii a fost ștearsă la expirarea unui termen de șase luni începând de la deciziile menționate.

26

SCHUFA este o societate privată care furnizează informații comerciale și care înregistrează și stochează, în propriile baze de date, informații provenite din registre publice, în special cele referitoare la liberări de restul de datorie. Ea șterge aceste din urmă informații la expirarea unui termen de trei ani de la înregistrare, în conformitate cu codul de conduită elaborat în Germania de asociația ce regrupează societățile care furnizează informații comerciale și aprobat de autoritatea de supraveghere competentă.

27

UF și AB s‑au adresat SCHUFA pentru a obține de la aceasta ștergerea înscrierilor referitoare la deciziile de liberare de restul de datorie ale căror destinatari au fost. Această societate a refuzat să le admită cererile, după ce a explicat că activitatea sa avea loc cu respectarea RGPD și că termenul de ștergere de șase luni prevăzut la articolul 3 alineatul (1) din InsoBekV nu îi era aplicabil.

28

UF și AB au depus fiecare o plângere la HBDI în calitate de autoritate de supraveghere competentă.

29

Prin deciziile pronunțate la 1 martie 2021 și, respectiv, la 9 iulie 2021, HBDI a considerat că prelucrarea datelor efectuată de SCHUFA era legală.

30

UF și AB au formulat fiecare o acțiune împotriva deciziei HBDI la Verwaltungsgericht Wiesbaden (Tribunalul Administrativ din Wiesbaden, Germania), instanța de trimitere. În susținerea acestor acțiuni, ei au arătat că HBDI avea obligația, în cadrul sarcinilor și al competențelor sale, să adopte măsuri împotriva SCHUFA pentru a‑i impune să efectueze ștergerea înscrierilor care îi priveau.

31

În apărare, HBDI a solicitat respingerea acțiunilor.

32

Pe de o parte, HBDI a susținut că dreptul de a depune o plângere prevăzut la articolul 77 alineatul (1) din RGPD este conceput numai ca un drept de petiționare. Astfel, controlul jurisdicțional s‑ar limita să verifice dacă autoritatea de supraveghere a tratat plângerea și l‑a informat pe autorul ei cu privire la progresele și la soluționarea acestei plângeri. În schimb, instanța sesizată nu ar avea sarcina de a controla exactitatea pe fond a deciziei de soluționare a plângerii.

33

Pe de altă parte, HBDI a subliniat că datele la care au acces societățile care furnizează informații comerciale pot fi stocate atât timp cât acest lucru este necesar în scopurile pentru care au fost stocate. În lipsa unei reglementări prevăzute de legiuitorul național, autoritățile de supraveghere ar fi adoptat coduri de conduită, iar cel elaborat de asociația ce regrupează societățile care furnizează informații comerciale ar prevedea ștergerea acestor date după exact trei ani de la înscrierea în fișier.

34

În această privință, în primul rând, instanța de trimitere consideră necesar să clarifice natura juridică a deciziei pe care autoritatea de supraveghere o adoptă după ce a fost sesizată cu o plângere în temeiul articolului 77 alineatul (1) din RGPD.

35

În special, instanța menționată are îndoieli cu privire la argumentația HBDI, din moment ce aceasta ar aduce atingere caracterului efectiv al căii de atac judiciare prevăzute la articolul 78 alineatul (1) din RGPD. În plus, având în vedere obiectivul acestui regulament, care, în cadrul punerii în aplicare a articolelor 7 și 8 din cartă, constă în asigurarea unei protecții efective a drepturilor și libertăților fundamentale ale persoanelor fizice, articolele 77 și 78 din regulamentul menționat nu pot primi o interpretare restrictivă.

36

Această instanță preconizează o interpretare potrivit căreia decizia adoptată pe fond de autoritatea de supraveghere trebuie să fie supusă unui control complet al instanței. Autoritatea de supraveghere ar dispune însă atât de o putere de apreciere, cât și de o putere discreționară și nu ar putea fi obligată să acționeze decât atunci când nu pot fi identificate opțiuni legale.

37

În al doilea rând, instanța de trimitere ridică, în două privințe, problema legalității stocării de către societățile care furnizează informații comerciale a unor date referitoare la bonitatea unei persoane care provin din registre publice precum registrul de insolvență.

38

Primo, ar exista îndoieli cu privire la legalitatea stocării de către o societate privată cum este SCHUFA, în propriile baze de date, a datelor transferate din registrele publice.

39

Astfel, mai întâi, această stocare ar interveni nu într‑un caz concret, ci în eventualitatea în care partenerii lor contractuali le‑ar solicita asemenea informații și ar conduce, în cele din urmă, la o păstrare a acestor date, mai ales atunci când ele au fost deja șterse din registrul public ca urmare a expirării termenului de stocare.

40

Pe de altă parte, o prelucrare și, așadar, o stocare de date ar fi permise numai dacă este îndeplinită una dintre condițiile prevăzute la articolul 6 alineatul (1) din RGPD. În speță ar fi luată în considerare doar condiția prevăzută la articolul 6 alineatul (1) primul paragraf litera (f) din acest regulament. Or, ar fi îndoielnic ca o societate care furnizează informații comerciale precum SCHUFA să urmărească un interes legitim în sensul acestei dispoziții.

41

În sfârșit, SCHUFA ar fi doar o societate printre alte societăți care furnizează informații comerciale, astfel încât datele ar fi stocate în Germania în mai multe forme, ceea ce ar implica o atingere masivă adusă dreptului fundamental consacrat la articolul 7 din cartă.

42

Secundo, chiar dacă se presupune că stocarea de către societăți private a unor date provenite din registre publice ar fi legală ca atare, s‑ar ridica problema duratei posibile a unei asemenea stocări.

43

În această privință, instanța de trimitere consideră că acestor societăți private ar trebui să li se impună să respecte termenul de șase luni prevăzut la articolul 3 din InsoBekV referitor la stocarea în registrul de insolvență a deciziilor de liberare de restul de datorie. Astfel, datele care trebuie șterse dintr‑un registru public ar trebui de asemenea șterse concomitent la toate societățile private care furnizează informații comerciale și care au stocat aceste date.

44

De altfel, s‑ar ridica problema dacă este necesar ca un cod de conduită aprobat în conformitate cu articolul 40 din RGPD, care prevede un termen de ștergere de trei ani pentru înscrierea referitoare la liberarea de restul de datorie, să fie luat în considerare la evaluarea comparativă care trebuie efectuată în cadrul aprecierii realizate în temeiul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD.

45

În aceste condiții, Verwaltungsgericht Wiesbaden (Tribunalul Administrativ din Wiesbaden) a hotărât să suspende judecarea cauzelor și să adreseze Curții următoarele întrebări preliminare:

46

Prin decizia președintelui Curții din 11 februarie 2022, cauzele C‑26/22 și C‑64/22 au fost conexate pentru buna desfășurare a fazelor scrise și orale ale procedurii, precum și în vederea pronunțării hotărârii.

47

Prin intermediul primei întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 78 alineatul (1) din RGPD trebuie interpretat în sensul că controlul jurisdicțional exercitat asupra unei decizii adoptate de o autoritate de supraveghere cu privire la o plângere se limitează la chestiunea dacă autoritatea respectivă a tratat plângerea, a investigat în mod adecvat obiectul acesteia și l‑a informat pe autorul plângerii cu privire la rezultatul examinării sau dacă această decizie este supusă unui control jurisdicțional complet, care include competența instanței sesizate de a impune autorității de supraveghere să ia o măsură concretă.

48

Pentru a răspunde la această întrebare, trebuie amintit, cu titlu introductiv, că interpretarea unei dispoziții de drept al Uniunii impune să se țină seama nu numai de termenii săi, ci și de contextul în care se înscrie, precum și de obiectivele și de finalitatea urmărite de actul din care aceasta face parte (Hotărârea din 22 iunie 2023, Pankki S,C‑579/21, EU:C:2023:501, punctul 38 și jurisprudența citată).

49

În ceea ce privește termenii articolului 78 alineatul (1) din RGPD, această dispoziție prevede că, fără a aduce atingere oricăror alte căi de atac administrative sau nejudiciare, fiecare persoană fizică sau juridică are dreptul de a exercita o cale de atac judiciară eficientă împotriva unei decizii obligatorii din punct de vedere juridic a unei autorități de supraveghere care o vizează.

50

În această privință, trebuie să se arate de la bun început că, în speță, deciziile adoptate de HDBI constituie decizii obligatorii din punct de vedere juridic, în sensul articolului 78 alineatul (1) menționat. Astfel, după ce a examinat temeinicia plângerilor cu care a fost sesizată, această autoritate a constatat că prelucrarea datelor cu caracter personal contestată de reclamanții din litigiile principale era legală în temeiul RGPD. Caracterul obligatoriu din punct de vedere juridic al acestor decizii este de altfel confirmat de considerentul (143) al acestui regulament, potrivit căruia refuzul sau respingerea unei plângeri de către o autoritate de supraveghere constituie o decizie care produce efecte juridice față de autorul plângerii respective.

51

Trebuie să se arate de asemenea că reiese în mod explicit din această dispoziție, interpretată în lumina considerentului (141) al acestui regulament, că orice persoană vizată are dreptul la o cale de atac judiciară „eficientă”, în conformitate cu articolul 47 din cartă.

52

Astfel, Curtea a statuat deja că din articolul 78 alineatul (1) din RGPD, interpretat în lumina considerentului (143) al acestui regulament, rezultă că instanțele sesizate cu o cale de atac împotriva unei decizii a unei autorități de supraveghere ar trebui să dispună de o competență deplină, în special de cea de a examina toate chestiunile de fapt și de drept referitoare la litigiul cu care sunt sesizate (Hotărârea din 12 ianuarie 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság,C‑132/21, EU:C:2023:2, punctul 41).

53

Prin urmare, articolul 78 alineatul (1) din RGPD nu poate fi interpretat în sensul că acest control jurisdicțional exercitat asupra unei decizii adoptate de o autoritate de supraveghere cu privire la o plângere s‑ar limita la chestiunea dacă autoritatea respectivă a tratat plângerea, a investigat în mod adecvat obiectul acesteia și l‑a informat pe autorul plângerii cu privire la rezultatul examinării. Dimpotrivă, pentru ca o cale de atac judiciară să fie „eficientă”, astfel cum impune această dispoziție, o asemenea decizie trebuie să fie supusă unui control jurisdicțional complet.

54

Această interpretare este confirmată de contextul în care se înscrie articolul 78 alineatul (1) din RGPD, precum și de obiectivele și de finalitatea pe care le urmărește acest regulament.

55

În ceea ce privește contextul care însoțește această dispoziție, trebuie să se arate că, în conformitate cu articolul 8 alineatul (3) din cartă, precum și cu articolul 51 alineatul (1) și cu articolul 57 alineatul (1) litera (a) din RGPD, autoritățile naționale de supraveghere sunt responsabile să supravegheze respectarea normelor Uniunii referitoare la protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal (Hotărârea din 16 iulie 2020, Facebook Ireland și Schrems, C‑311/18, EU:C:2020:559, punctul 107).

56

În special, în temeiul articolului 57 alineatul (1) litera (f) din RGPD, fiecare autoritate de supraveghere este obligată, pe teritoriul său, să trateze plângerile pe care orice persoană, conform articolului 77 alineatul (1) din acest regulament, are dreptul de a le depune în cazul în care consideră că o prelucrare a datelor cu caracter personal care o vizează încalcă regulamentul menționat și să investigheze într‑o măsură adecvată obiectul acestora. Autoritatea de supraveghere trebuie să soluționeze o astfel de plângere cu toată diligența necesară (Hotărârea din 16 iulie 2020, Facebook Ireland și Schrems, C‑311/18, EU:C:2020:559, punctul 109).

57

În vederea soluționării plângerilor depuse, articolul 58 alineatul (1) din RGPD învestește fiecare autoritate de control cu competențe importante de investigare. Atunci când o asemenea autoritate constată, la finalul investigației sale, o încălcare a dispozițiilor acestui regulament, ea este obligată să reacționeze în mod corespunzător pentru a remedia insuficiența constatată. În acest scop, articolul 58 alineatul (2) din regulamentul respectiv enumeră diferitele competențe corective pe care le are autoritatea de supraveghere (a se vedea în acest sens Hotărârea din 16 iulie 2020, Facebook Ireland și Schrems, C‑311/18, EU:C:2020:559, punctul 111).

58

Rezultă, astfel cum a arătat domnul avocat general la punctul 42 din concluzii, că procedura privind plângerea, care nu se aseamănă cu cea privind o petiție, este concepută ca un mecanism capabil să protejeze în mod eficient drepturile și interesele persoanelor vizate.

59

Or, având în vedere competențele extinse cu care este învestită autoritatea de supraveghere în temeiul RGPD, cerința unei protecții jurisdicționale efective nu ar fi îndeplinită dacă deciziile privind exercitarea de către o asemenea autoritate de supraveghere a unor competențe de investigare sau de adoptare a unor măsuri corective ar fi supuse doar unui control jurisdicțional restrâns.

60

Situația este aceeași în cazul deciziilor de respingere a unei plângeri, întrucât articolul 78 alineatul (1) din RGPD nu face distincție în funcție de natura deciziei adoptate de autoritatea de supraveghere.

61

Referitor la obiectivele urmărite de RGPD, reiese în special din considerentul (10) al acestuia că RGPD urmărește să asigure un nivel ridicat de protecție a persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal în cadrul Uniunii. Considerentul (11) al acestui regulament enunță, în plus, că protecția efectivă a acestor date necesită consolidarea drepturilor persoanelor vizate.

62

Or, dacă articolul 78 alineatul (1) din regulamentul menționat ar trebui interpretat în sensul că acest control jurisdicțional pe care îl urmărește se limitează la a se verifica dacă autoritatea de supraveghere a tratat plângerea, a investigat în mod adecvat obiectul acesteia și l‑a informat pe autorul acesteia cu privire la rezultatul investigației, realizarea obiectivelor și urmărirea finalității aceluiași regulament ar fi neîndoielnic compromise.

63

Pe de altă parte, interpretarea acestei dispoziții potrivit căreia o decizie adoptată de o autoritate de supraveghere cu privire la o plângere este supusă unui control jurisdicțional complet nu repune în discuție garanțiile de independență de care beneficiază autoritățile de supraveghere și nici dreptul la o cale de atac judiciară eficientă împotriva unui operator sau a unei persoane împuternicite de operator.

64

În primul rând, este adevărat că, în conformitate cu articolul 8 alineatul (3) din cartă, respectarea normelor în materia protecției datelor cu caracter personal este supusă controlului unei autorități independente. În acest context, articolul 52 din RGPD precizează printre altele că fiecare autoritate de supraveghere beneficiază de independență deplină în îndeplinirea sarcinilor sale și exercitarea competențelor sale în conformitate cu acest regulament [alineatul (1)], că membrul sau membrii fiecărei autorități de supraveghere, în cadrul îndeplinirii sarcinilor și al exercitării competențelor sale (lor), rămâne (rămân) independent (independenți) de orice influență externă [alineatul (2)] și că fiecare stat membru se asigură că fiecare autoritate de supraveghere dispune de resursele necesare pentru îndeplinirea sarcinilor și exercitarea efectivă a competențelor sale [alineatul (4)].

65

Aceste garanții de independență nu sunt însă nicidecum compromise de faptul că deciziile obligatorii din punct de vedere juridic ale unei autorități de supraveghere sunt supuse unui control jurisdicțional complet.

66

În al doilea rând, în ceea ce privește dreptul la o cale de atac judiciară eficientă împotriva unui operator sau a unei persoane împuternicite de operator, prevăzut la articolul 79 alineatul (1) din RGPD, este necesar să se arate că, potrivit jurisprudenței Curții, căile de atac prevăzute la articolul 78 alineatul (1) și, respectiv, la articolul 79 alineatul (1) din acest regulament pot fi exercitate în mod concurent și independent (Hotărârea din 12 ianuarie 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság,C‑132/21, EU:C:2023:2, punctul 35 și dispozitivul). În acest context, Curtea a considerat printre altele că punerea la dispoziție a mai multor căi de atac consolidează obiectivul enunțat în considerentul (141) al regulamentului menționat de a garanta oricărei persoane interesate care apreciază că îi sunt încălcate drepturile ce îi sunt conferite de același regulament că dispune de dreptul la o cale de atac eficientă în conformitate cu articolul 47 din cartă (Hotărârea din 12 ianuarie 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság,C‑132/21, EU:C:2023:2, punctul 44).

67

În consecință și chiar dacă revine statelor membre, în acord cu principiul autonomiei procedurale, sarcina de a prevedea modalitățile de articulare a acestor căi de atac (Hotărârea din 12 ianuarie 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság,C‑132/21, EU:C:2023:2, punctul 45 și dispozitivul), existența dreptului la o cale de atac judiciară eficientă împotriva unui operator sau a unei persoane împuternicite de operator, prevăzut la articolul 79 alineatul (1) din RGPD, nu produce efecte asupra întinderii controlului jurisdicțional exercitat, în cadrul unei căi de atac formulate în temeiul articolului 78 alineatul (1) din acest regulament, asupra unei decizii adoptate de o autoritate de supraveghere cu privire la o plângere.

68

Cu toate acestea, este necesar să se adauge că, deși, astfel cum s‑a amintit la punctul 56 din prezenta hotărâre, autoritatea de supraveghere trebuie să trateze o plângere cu toată diligența necesară, această autoritate dispune, referitor la măsurile corective enumerate la articolul 58 alineatul (2) din RGPD, de o marjă de apreciere în ceea ce privește alegerea mijloacelor adecvate și necesare (a se vedea în acest sens Hotărârea din 16 iulie 2020, Facebook Ireland și Schrems, C‑311/18, EU:C:2020:559, punctul 112).

69

Or, deși instanța națională sesizată cu o cale de atac în temeiul articolului 78 alineatul (1) din RGPD trebuie să dispună, astfel cum s‑a constatat la punctul 52 din prezenta hotărâre, de o competență deplină pentru a examina toate chestiunile de fapt și de drept referitoare la litigiul respectiv, garantarea unei protecții jurisdicționale efective nu presupune ca aceasta să fie abilitată să substituie aprecierea acestei autorități cu propria apreciere referitoare la alegerea măsurilor corective adecvate și necesare, ci impune ca instanța respectivă să examineze dacă autoritatea de supraveghere a respectat limitele puterii sale de apreciere.

70

Ținând seama de ansamblul considerațiilor care precedă, este necesar să se răspundă la prima întrebare că articolul 78 alineatul (1) din RGPD trebuie interpretat în sensul că o decizie adoptată de o autoritate de supraveghere cu privire la o plângere este supusă unui control jurisdicțional complet.

71

Prin intermediul întrebărilor a doua-a cincea, care trebuie analizate împreună, instanța de trimitere solicită în esență să se stabilească:

72

Potrivit articolului 5 alineatul (1) litera (a) din RGPD, datele cu caracter personal trebuie să fie prelucrate în mod legal, echitabil și transparent față de persoana vizată.

73

În acest context, articolul 6 alineatul (1) primul paragraf din acest regulament prevede o listă exhaustivă și limitativă de cazuri în care o prelucrare de date cu caracter personal poate fi considerată legală. Astfel, pentru a putea fi considerată legitimă, o prelucrare trebuie să se încadreze în unul dintre cazurile prevăzute de această dispoziție [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 90, precum și jurisprudența citată].

74

În speță, este cert că legalitatea prelucrării datelor cu caracter personal în discuție în litigiile principale trebuie să fie apreciată doar în lumina articolului 6 alineatul (1) primul paragraf litera (f) din RGPD. Potrivit acestei dispoziții, prelucrarea datelor cu caracter personal este legală numai dacă și în măsura în care este necesară în scopul intereselor legitime urmărite de operator sau de un terț, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil.

75

Astfel, pentru ca o prelucrare de date cu caracter personal să fie legală, dispoziția menționată prevede trei condiții cumulative și anume, în primul rând, urmărirea unui interes legitim de către operator sau de către un terț, în al doilea rând, necesitatea prelucrării datelor cu caracter personal pentru realizarea interesului legitim urmărit și, în al treilea rând, condiția ca interesele sau libertățile și drepturile fundamentale ale persoanei vizate să prevaleze [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 106, precum și jurisprudența citată].

76

În ceea ce privește, în primul rând, condiția referitoare la urmărirea unui „interes legitim”, în lipsa unei definiții a acestei noțiuni în RGPD, trebuie să se sublinieze, astfel cum a arătat domnul avocat general la punctul 61 din concluzii, că o gamă largă de interese poate fi considerată în principiu legitimă.

77

În ceea ce privește, în al doilea rând, condiția referitoare la necesitatea prelucrării datelor cu caracter personal pentru realizarea interesului legitim urmărit, aceasta impune instanței de trimitere să verifice dacă interesul legitim al prelucrării datelor urmărit nu poate fi atins în mod rezonabil la fel de eficient prin alte mijloace care să afecteze mai puțin libertățile și drepturile fundamentale ale persoanelor vizate, în special dreptul la respectarea vieții private și dreptul la protecția datelor cu caracter personal garantate prin articolele 7 și 8 din cartă [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 108, precum și jurisprudența citată].

78

În acest context, este necesar să se amintească de asemenea că această condiție privind necesitatea prelucrării trebuie examinată împreună cu principiul „reducerii la minimum a datelor” consacrat la articolul 5 alineatul (1) litera (c) din RGPD, potrivit căruia datele cu caracter personal trebuie să fie „adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate” [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 109, precum și jurisprudența citată].

79

În ceea ce privește, în al treilea rând, condiția ca interesele sau libertățile și drepturile fundamentale ale persoanei vizate de protecția datelor să nu prevaleze asupra interesului legitim al operatorului sau al unui terț, Curtea a statuat deja că aceasta implică o evaluare comparativă a drepturilor și a intereselor opuse în cauză care depinde în principiu de împrejurările concrete ale cazului și că, în consecință, instanței de trimitere îi revine sarcina de a efectua această evaluare comparativă ținând seama de împrejurările specifice respective [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 110, precum și jurisprudența citată].

80

În plus, astfel cum reiese din considerentul (47) al RGPD, interesele și drepturile fundamentale ale persoanei vizate pot prevala în special în raport cu interesul operatorului de date atunci când datele cu caracter personal sunt prelucrate în circumstanțe în care persoanele vizate nu preconizează în mod rezonabil o asemenea prelucrare [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 112].

81

Deși, în definitiv, instanței de trimitere îi revine, așadar, sarcina de a aprecia dacă, în privința prelucrării datelor cu caracter personal în discuție în litigiile principale, sunt îndeplinite cele trei condiții amintite la punctul 75 din prezenta hotărâre, Curtea, pronunțându‑se asupra trimiterii preliminare, poate oferi precizări destinate să orienteze instanța respectivă în această stabilire (a se vedea în acest sens Hotărârea din 20 octombrie 2022, Digi,C‑77/21, EU:C:2022:805, punctul 39 și jurisprudența citată).

82

În speță, în ceea ce privește urmărirea unui interes legitim, SCHUFA arată că societățile care furnizează informații comerciale prelucrează date necesare evaluării bonității persoanelor sau a întreprinderilor pentru a putea pune aceste informații la dispoziția partenerilor lor contractuali. Or, pe lângă faptul că această activitate ar proteja interesele economice ale întreprinderilor care doresc să încheie contracte de creditare, stabilirea bonității și furnizarea de informații privind bonitatea ar constitui temeiul creditului și al capacității de funcționare a economiei. Activitatea acestor societăți ar contribui de asemenea la îndeplinirea dezideratelor comerciale ale persoanelor interesate de operațiuni de creditare, întrucât informațiile ar permite o examinare rapidă și nebirocratică a acestor operațiuni.

83

În această privință, deși prelucrarea datelor cu caracter personal precum cea în discuție în litigiile principale servește intereselor economice ale SCHUFA, această prelucrare servește de asemenea urmăririi interesului legitim al partenerilor contractuali ai SCHUFA, care intenționează să încheie contracte în legătură cu un credit cu persoane, de a putea evalua bonitatea acestora din urmă și, prin urmare, a intereselor sectorului creditelor pe plan socioeconomic.

84

Într‑adevăr, în ceea ce privește contractele de credit pentru consumatori, din articolul 8 din Directiva 2008/48, citit în lumina considerentului (28) al acesteia, reiese că înainte de încheierea unui contract de credit creditorul are obligația să evalueze bonitatea consumatorului pe baza unui volum suficient de informații, inclusiv, dacă este cazul, de informații provenite din baze de date publice și private.

85

În plus, în ceea ce privește contractele de credit pentru consumatori referitoare la bunuri imobile rezidențiale, din articolul 18 alineatul (1) și din articolul 21 alineatul (1) din Directiva 2014/17, citite în lumina considerentelor (55) și (59) ale acesteia, reiese că creditorul trebuie să efectueze o evaluare riguroasă a bonității consumatorului și că el dispune de acces la bazele de date privind creditul, consultarea unor asemenea baze de date fiind un element util în scopul acestei evaluări.

86

Este necesar să se adauge că obligația de evaluare a bonității consumatorilor, astfel cum este prevăzută de Directivele 2008/48 și 2014/17, urmărește nu numai să protejeze solicitantul de credit, ci și, după cum se subliniază în considerentul (26) al Directivei 2008/48, să garanteze buna funcționare a sistemului de credit în ansamblul său.

87

Se impune totodată ca prelucrarea datelor să fie necesară pentru realizarea intereselor legitime urmărite de operator sau de un terț și ca interesele sau libertățile și drepturile fundamentale ale persoanei vizate să nu prevaleze asupra acestora. În cadrul acestei evaluări comparative a drepturilor și a intereselor opuse în cauză, și anume cele ale operatorului și ale terților implicați, pe de o parte, și cele ale persoanei vizate, pe de altă parte, trebuie să se țină seama, astfel cum s‑a arătat la punctul 80 din prezenta hotărâre, în special de așteptările rezonabile ale persoanei vizate, precum și de întinderea prelucrării în cauză și de impactul acesteia asupra persoanei respective [a se vedea Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 116].

88

În ceea ce privește articolul 6 alineatul (1) primul paragraf litera (f) din RGPD, Curtea a statuat că această dispoziție trebuie interpretată în sensul că o prelucrare poate fi considerată necesară în scopul intereselor legitime urmărite de operator sau de un terț, în sensul acestei dispoziții, numai dacă această prelucrare este efectuată în limitele strictului necesar pentru realizarea acestui interes legitim și dacă reiese dintr‑o evaluare comparativă a intereselor opuse, în raport cu ansamblul circumstanțelor relevante, că interesele sau libertățile și drepturile fundamentale ale persoanelor vizate de prelucrare nu prevalează asupra interesului legitim respectiv al operatorului sau al unui terț [a se vedea în acest sens Hotărârea din 4 mai 2017, Rīgas satiksme,C‑13/16, EU:C:2017:336, punctul 30, precum și Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 126].

89

În acest context, instanța de trimitere se referă la două aspecte ale prelucrării datelor cu caracter personal în discuție în litigiile principale. În primul rând, această prelucrare ar implica o stocare multiformă a datelor, și anume nu numai într‑un registru public, ci și în bazele de date ale societăților care furnizează informații comerciale, cu precizarea că aceste societăți ar efectua stocarea nu cu ocazia unui caz concret, ci în eventualitatea în care partenerii lor contractuali le‑ar solicita asemenea informații. În al doilea rând, societățile respective ar stoca aceste date timp de trei ani, pe baza unui cod de conduită în sensul articolului 40 din RGPD, cu toate că legislația națională ar prevedea, în ceea ce privește registrul public, o perioadă de stocare de numai șase luni.

90

Referitor la primul dintre aceste aspecte, SCHUFA susține că ar fi imposibil să se furnizeze informații în timp util în cazul în care o societate care furnizează informații comerciale ar fi obligată să aștepte o solicitare concretă înainte de a putea să înceapă colectarea datelor.

91

În această privință, instanței de trimitere îi revine sarcina de a verifica dacă stocarea datelor în discuție de către SCHUFA în propriile baze de date este limitată la strictul necesar pentru realizarea interesului legitim urmărit, cu toate că datele în discuție pot fi consultate în registrul public și fără ca o întreprindere comercială să fi solicitat informații într‑un caz concret. Dacă nu aceasta ar fi situația, stocarea acestor date de către SCHUFA nu ar putea fi considerată ca fiind necesară în perioada punerii la dispoziția publicului a datelor respective.

92

În legătură cu perioada de stocare a datelor, trebuie să se considere că examinările celei de a doua și celei de a treia condiții amintite la punctul 75 din prezenta hotărâre se confundă în măsura în care aprecierea aspectului dacă, în speță, interesele legitime urmărite de prelucrarea datelor cu caracter personal în discuție în litigiile principale nu pot fi atinse în mod rezonabil printr‑o perioadă mai scurtă de stocare a datelor necesită o evaluare comparativă a drepturilor și a intereselor opuse în cauză.

93

În ceea ce privește evaluarea comparativă a intereselor legitime urmărite, este necesar să se arate că, în măsura în care analiza efectuată de o societate care furnizează informații comerciale face posibilă evaluarea obiectivă și fiabilă a bonității clienților potențiali ai partenerilor contractuali ai societății care furnizează aceste informații comerciale, ea permite compensarea unor disparități în informații și, așadar, reducerea riscurilor de fraudă, precum și a altor incertitudini.

94

În ceea ce privește, în schimb, drepturile și interesele persoanei vizate, prelucrarea datelor referitoare la acordarea unei liberări de restul de datorie care este efectuată de o societate care furnizează informații comerciale, precum stocarea, analiza și comunicarea acestor date unui terț, constituie o ingerință gravă în drepturile fundamentale ale persoanei vizate, consacrate la articolele 7 și 8 din cartă. Astfel, asemenea date sunt utilizate ca un factor negativ la evaluarea bonității persoanei vizate și constituie, așadar, informații sensibile cu privire la viața sa privată (a se vedea în acest sens Hotărârea din 13 mai 2014, Google Spain și Google, C‑131/12, EU:C:2014:317, punctul 98). Prelucrarea lor poate vătăma în mod considerabil interesele persoanei vizate în cazul în care această comunicare este de natură să complice în mod semnificativ exercitarea libertăților sale, în special atunci când este vorba despre acoperirea unor nevoi de bază.

95

În plus, astfel cum a arătat Comisia, cu cât stocarea datelor în cauză de către societățile care furnizează informații comerciale este mai lungă, cu atât consecințele asupra intereselor și asupra vieții private ale persoanei vizate sunt mai importante și cu atât cerințele referitoare la legalitatea stocării acestor informații sunt mai ridicate.

96

Pe de altă parte, este necesar să se arate că, astfel cum reiese din considerentul (76) al Regulamentului 2015/848, obiectivul unui registru public de insolvență este o mai bună informare a creditorilor, precum și a instanțelor relevante. În acest context, articolul 79 alineatul (5) din acest regulament se limitează să prevadă că statele membre informează persoanele vizate în legătură cu perioada de accesibilitate stabilită pentru datele cu caracter personal stocate în registrele de insolvență, fără a stabili un termen pentru stocarea datelor respective. În schimb, din articolul 79 alineatul (4) din acest regulament reiese că statele membre răspund, în conformitate cu acesta, de colectarea și stocarea datelor cu caracter personal în bazele de date naționale. Termenul de stocare a acestor date trebuie să fie stabilit, așadar, cu respectarea regulamentului menționat.

97

În speță, legiuitorul german prevede că informația privind acordarea unei liberări de restul de datorie este stocată în registrul de insolvență doar timp de șase luni. Acesta consideră, așadar, că, după expirarea unui termen de șase luni, drepturile și interesele persoanei vizate prevalează asupra intereselor publicului de a dispune de această informație.

98

În plus, astfel cum a arătat domnul avocat general la punctul 75 din concluzii, liberarea de restul de datorie este menită să permită persoanei care beneficiază de aceasta să participe din nou la viața economică și are, prin urmare, în general, o importanță existențială pentru acea persoană. Or, realizarea acestui obiectiv ar fi compromisă în cazul în care societățile care furnizează informații comerciale ar putea, în scopul evaluării situației economice a unei persoane, să stocheze date referitoare la o liberare de restul de datorie și să utilizeze asemenea date după ce au fost șterse din registrul public de insolvență, în măsura în care datele respective sunt încă utilizate ca un factor negativ la evaluarea bonității unei asemenea persoane.

99

În aceste condiții, interesele sectorului creditelor de a dispune de informații cu privire la o liberare de restul de datorie nu pot justifica o prelucrare a datelor cu caracter personal precum cea în discuție în litigiile principale după expirarea termenului de stocare a datelor în registrul public de insolvență, astfel încât stocarea acestor date de către o societate care furnizează informații comerciale nu se poate întemeia pe articolul 6 alineatul (1) primul paragraf litera (f) din RGPD în ceea ce privește perioada ulterioară ștergerii datelor menționate dintr‑un registru public de insolvență.

100

Referitor la perioada de șase luni în care datele în discuție sunt deopotrivă disponibile în acest registru public este necesar să se arate că, deși efectele unei stocări în paralel a acestor date în baze de date ale unor asemenea societăți pot fi considerate mai puțin grave numai după curgerea celor șase luni, această stocare constituie totuși o ingerință în drepturile consacrate la articolele 7 și 8 din cartă. În această privință, Curtea a statuat deja că prezența acelorași date cu caracter personal în mai multe surse accentuează ingerința în dreptul persoanei la viață privată (a se vedea Hotărârea din 13 mai 2014, Google Spain și Google, C‑131/12, EU:C:2014:317, punctele 86 și 87). Este de competența instanței de trimitere să evalueze comparativ interesele în discuție și efectele asupra persoanei vizate pentru a stabili dacă stocarea paralelă a acestor date de către societăți private care furnizează informații comerciale poate fi considerată ca fiind limitată la strictul necesar, astfel cum impune jurisprudența Curții citată la punctul 88 din prezenta hotărâre.

101

În sfârșit, în ceea ce privește existența, precum în speță, a unui cod de conduită care prevede că o societate care furnizează informații comerciale trebuie să șteargă datele referitoare la o liberare de restul de datorie după expirarea unui termen de trei ani, trebuie amintit că, în conformitate cu articolul 40 alineatele (1) și (2) din RGPD, codurile de conduită sunt menite să contribuie la buna aplicare a acestui regulament, ținând seama de caracteristicile specifice ale diverselor sectoare de prelucrare și de nevoile specifice ale microîntreprinderilor și ale întreprinderilor mici și mijlocii. Astfel, asociațiile și alte organisme care reprezintă categorii de operatori sau de persoane împuternicite de operatori pot elabora coduri de conduită sau le pot modifica ori extinde pe cele existente în scopul de a specifica modul de aplicare a acestui regulament, precum prelucrarea în mod echitabil și transparent, interesele legitime urmărite de operatori în contexte specifice și colectarea datelor cu caracter personal.

102

În plus, în temeiul articolului 40 alineatul (5) din RGPD, un proiect de cod este prezentat autorității de supraveghere competente, care îl aprobă în cazul în care constată că acesta oferă garanții adecvate suficiente.

103

În speță, codul de conduită în discuție în litigiile principale a fost elaborat de asociația ce regrupează societățile germane care furnizează informații comerciale și a fost aprobat de autoritatea de supraveghere competentă.

104

În aceste împrejurări, deși, conform articolului 40 alineatele (1) și (2) din RGPD, un cod de conduită este menit să contribuie la buna aplicare a acestui regulament și să îi specifice modul de aplicare, nu este mai puțin adevărat că, așa cum a arătat domnul avocat general la punctele 103 și 104 din concluzii, condițiile de legalitate a unei prelucrări a datelor cu caracter personal prevăzute de un asemenea cod nu pot fi diferite de condițiile prevăzute la articolul 6 alineatul (1) din RGPD.

105

Astfel, un cod de conduită care conduce la o apreciere diferită de cea care este obținută în aplicarea articolului 6 alineatul (1) primul paragraf litera (f) din RGPD nu poate fi luat în considerare în evaluarea comparativă efectuată în temeiul acestei dispoziții.

106

În sfârșit, instanța de trimitere ridică în esență problema obligațiilor ce revin unei societăți care furnizează informații comerciale în temeiul articolului 17 din RGPD.

107

În această privință, trebuie amintit că, în conformitate cu articolul 17 alineatul (1) litera (d) din RGPD, la care se referă instanța de trimitere, persoana vizată are dreptul de a obține din partea operatorului ștergerea datelor cu caracter personal care o privesc, fără întârzieri nejustificate, iar operatorul are obligația de a șterge datele cu caracter personal, fără întârzieri nejustificate, în cazul în care datele cu caracter personal au fost prelucrate ilegal.

108

Prin urmare, potrivit modului clar de redactare a acestei dispoziții, în ipoteza în care instanța de trimitere ar trebui să concluzioneze, la finalul aprecierii sale cu privire la legalitatea prelucrării datelor cu caracter personal în discuție în litigiile principale, că această prelucrare nu este legală, operatorului, în speță SCHUFA, i‑ar reveni sarcina de a șterge datele în cauză, fără întârzieri nejustificate. Un asemenea caz ar fi, în conformitate cu constatările din cuprinsul punctului 99 din prezenta hotărâre, o prelucrare a datelor cu caracter personal care este efectuată după expirarea termenului de stocare a datelor de șase luni în registrul public de insolvență.

109

În ceea ce privește prelucrarea care intervine în perioada de șase luni în care datele sunt disponibile în registrul public de insolvență, în ipoteza în care instanța de trimitere ar trebui să concluzioneze că prelucrarea era conformă cu articolul 6 alineatul (1) primul paragraf litera (f) din RGPD, s‑ar aplica articolul 17 alineatul (1) litera (c) din acest regulament.

110

Această dispoziție prevede dreptul la ștergerea datelor cu caracter personal în cazul în care persoana vizată se opune prelucrării în temeiul articolului 21 alineatul (1) din RGPD și nu există „motive legitime [imperioase] care să prevaleze în ceea ce privește prelucrarea”. În temeiul acestei din urmă dispoziții, persoana vizată are dreptul să se opună în orice moment, din motive legate de situația particulară în care se află, prelucrării în temeiul articolului 6 alineatul (1) primul paragraf litera (e) sau (f) din RGPD, a datelor cu caracter personal care o privesc. Operatorul nu mai prelucrează datele cu caracter personal, cu excepția cazului în care demonstrează că are motive legitime și imperioase care justifică prelucrarea și care prevalează asupra intereselor, drepturilor și libertăților persoanei vizate sau că scopul este constatarea, exercitarea sau apărarea unui drept în instanță.

111

Rezultă din coroborarea acestor dispoziții că, astfel cum a arătat domnul avocat general la punctul 93 din concluzii, persoana vizată dispune de un drept de a se opune prelucrării și de un drept la ștergerea datelor, cu excepția cazului în care există motive legitime imperioase care prevalează asupra intereselor și a drepturilor și libertăților acestei persoane, în sensul articolului 21 alineatul (1) din RGPD, pe care operatorul trebuie să le demonstreze.

112

Prin urmare, în cazul în care operatorul nu efectuează o asemenea demonstrație, persoana vizată are dreptul de a solicita ștergerea datelor respective în temeiul articolului 17 alineatul (1) litera (c) din RGPD atunci când se opune prelucrării în conformitate cu articolul 21 alineatul (1) din acest regulament. Este de competența instanței de trimitere să examineze dacă există, cu titlu excepțional, motive legitime imperioase de natură să justifice prelucrarea în cauză.

113

Ținând seama de ansamblul considerațiilor care precedă, este necesar să se răspundă la întrebările a doua-a cincea în modul următor:

114

Întrucât, în privința părților din litigiile principale, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

Pentru aceste motive, Curtea (Camera întâi) declară: