1.

Cererile de decizie preliminară de față adresate în temeiul articolului 267 TFUE de Verwaltungsgericht Wiesbaden (Tribunalul Administrativ din Wiesbaden, Germania), au ca obiect interpretarea articolelor 7 și 8 din Carta drepturilor fundamentale a Uniunii Europene (denumită în continuare „carta”), precum și a articolului 6 alineatul (1) primul paragraf litera (f), a articolului 17 alineatul (1) litera (d), a articolului 40, a articolului 77 alineatul (1) și a articolului 78 alineatul (1) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) ( 2 ) (denumit în continuare „RGPD”).

2.

Aceste cereri se înscriu în cadrul a două litigii între, în primul, UF (cauza C‑26/22) și, în al doilea, AB (cauza C‑64/22), pe de o parte, și Land Hessen (landul Hessen, Germania), reprezentat de Hessischer Beauftragte für Datenschutz und Informationsfreiheit (Comisarul landului Hessen pentru Protecția Datelor și Libertatea de Informare, denumit în continuare „HBDI”), pe de altă parte, cu privire la cererile depuse de UF și, respectiv, de AB la HBDI în sensul de a se acționa în vederea ștergerii unei înregistrări la SCHUFA Holding AG (denumită în continuare „SCHUFA”), referitoare la o liberare de restul de datorie.

3.

Cele două cauze ridică o varietate de probleme juridice inedite, referitoare printre altele la natura juridică a deciziei luate de autoritatea de supraveghere sesizată cu o plângere, precum și la întinderea controlului jurisdicțional pe care instanța îl poate exercita în cadrul unei acțiuni introduse împotriva unei astfel de decizii. Aceste cauze privesc de asemenea problema legalității stocării datelor cu caracter personal provenite din registrele publice la societățile de informații comerciale.

4.

Potrivit articolului 79 alineatele (4) și (5) din Regulamentul (UE) 2015/848 al Parlamentului European și al Consiliului din 20 mai 2015 privind procedurile de insolvență ( 3 ):

„(4)   Statele membre răspund, în conformitate cu Directiva 95/46/CE [a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO 1995, L 281, p. 31, Ediție specială, 13/vol. 17, p. 10)], de colectarea și stocarea datelor în bazele de date naționale, precum și de deciziile luate cu privire la punerea acestor date la dispoziție în registrul interconectat care poate fi consultat prin intermediul portalului european e‑justiție.

(5)   Ca parte a informațiilor care ar trebui furnizate persoanelor vizate astfel încât să li se permită să își exercite drepturile, în special dreptul la ștergerea datelor, statele membre informează persoanele vizate în legătură cu perioada de accesibilitate stabilită pentru datele cu caracter personal stocate în registrele de insolvență.”

5.

Articolul 5 din GDPR prevede la alineatul (1):

„Datele cu caracter personal sunt:

[…]

[…]”

6.

Articolul 6 din acest regulament prevede la alineatul (1):

„Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții:

[…]

[…]”

7.

Articolul 17 din RGPD prevede la alineatul (1):

„Persoana vizată are dreptul de a obține din partea operatorului ștergerea datelor cu caracter personal care o privesc, fără întârzieri nejustificate, iar operatorul are obligația de a șterge datele cu caracter personal fără întârzieri nejustificate în cazul în care se aplică unul dintre următoarele motive:

[…]

[…]”

8.

Articolul 21 din acest regulament dispune la alineatul (1):

„În orice moment, persoana vizată are dreptul de a se opune, din motive legate de situația particulară în care se află, prelucrării în temeiul articolului 6 alineatul (1) litera (e) sau (f) sau al articolului 6 alineatul (1) a datelor cu caracter personal care o privesc, inclusiv creării de profiluri pe baza respectivelor dispoziții. Operatorul nu mai prelucrează datele cu caracter personal, cu excepția cazului în care operatorul demonstrează că are motive legitime și imperioase care justifică prelucrarea și care prevalează asupra intereselor, drepturilor și libertăților persoanei vizate sau că scopul este constatarea, exercitarea sau apărarea unui drept în instanță.”

9.

Articolul 40 din regulamentul menționat prevede:

„(1)   Statele membre, autoritățile de supraveghere, comitetul și Comisia încurajează elaborarea de coduri de conduită menite să contribuie la buna aplicare a prezentului regulament, ținând seama de caracteristicile specifice ale diverselor sectoare de prelucrare și de nevoile specifice ale microîntreprinderilor și ale întreprinderilor mici și mijlocii.

(2)   Asociațiile și alte organisme care reprezintă categorii de operatori sau de persoane împuternicite de operatori pot pregăti coduri de conduită sau le pot modifica sau extinde pe cele existente, în scopul de a specifica modul de aplicare a prezentului regulament, cum ar fi în ceea ce privește:

[…]

(5)   Asociațiile și alte organisme menționate la alineatul (2) din prezentul articol care intenționează să pregătească un cod de conduită sau să modifice sau să extindă un cod existent transmit proiectul de cod, de modificare sau de extindere autorității de supraveghere care este competentă în temeiul articolului 55. Autoritatea de supraveghere emite un aviz cu privire la conformitatea cu prezentul regulament a proiectului de cod, de modificare sau de extindere și îl aprobă în cazul în care se constată că acesta oferă garanții adecvate suficiente.

[…]”

10.

Articolul 77 din RGPD prevede la alineatul (1):

„Fără a aduce atingere oricăror alte căi de atac administrative sau judiciare, orice persoană vizată are dreptul de a depune o plângere la o autoritate de supraveghere, în special în statul membru în care își are reședința obișnuită, în care se află locul său de muncă sau în care a avut loc presupusa încălcare, în cazul în care consideră că prelucrarea datelor cu caracter personal care o vizează încalcă prezentul regulament.”

11.

Articolul 78 din acest regulament dispune:

„(1)   Fără a aduce atingere oricăror alte căi de atac administrative sau nejudiciare, fiecare persoană fizică sau juridică are dreptul de a exercita o cale de atac judiciară eficientă [a se citi «jurisdicțională efectivă»] împotriva unei decizii obligatorii din punct de vedere juridic a unei autorități de supraveghere care o vizează.

(2)   Fără a aduce atingere oricăror alte căi de atac administrative sau nejudiciare, fiecare persoană vizată are dreptul de a exercita o cale de atac judiciară eficientă în cazul în care autoritatea de supraveghere care este competentă în temeiul articolelor 55 și 56 nu tratează o plângere sau nu informează persoana vizată în termen de trei luni cu privire la progresele sau la soluționarea plângerii depuse în temeiul articolului 77.

[…]”

12.

Alineatul 9 din Insolvenzordnung (Codul insolvenței), în versiunea în vigoare la data faptelor din litigiile principale, dispune la alineatul (1):

„Publicitatea oficială se realizează prin intermediul unei publicări pe internet la nivel central și al Länder; aceasta poate fi efectuată în extras. În acest scop, debitorul trebuie identificat cu precizie, în special prin indicarea adresei și a domeniului său comercial. Se consideră că publicitatea este efectivă la două zile de la data publicării.”

13.

Articolul 3 din Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (Regulamentul privind publicitatea oficială difuzată pe internet în cadrul procedurilor de insolvență, denumit în continuare „InsBekV”) prevede la alineatele (1) și (2):

„(1)   Publicarea într‑un sistem electronic de informare și de comunicare a datelor provenite dintr‑o procedură de insolvență, inclusiv din procedura de deschidere, este ștearsă în termen de cel mult șase luni de la anularea procedurii de insolvență sau de la data la care închiderea acestei proceduri a rămas definitivă. În cazul nedeschiderii procedurii, termenul începe să curgă de la anularea măsurilor asigurătorii publicate.

(2)   În ceea ce privește publicările din cadrul procedurii de liberare de restul de datorie, inclusiv ordonanța menționată la articolul 289 din Legea insolvenței, se aplică alineatul (1) prima teză, cu condiția ca termenul să înceapă să curgă de la data la care decizia privind liberarea de restul de datorie devine definitivă.”

14.

Lui UF și lui AB le‑a fost acordată, în contextul procedurilor de insolvență care îi vizează, o liberare anticipată de restul de datorie prin deciziile judiciare pronunțate la 17 decembrie 2020 și, respectiv, la 23 martie 2021. În conformitate cu articolul 9 alineatul (1) din Legea insolvenței și cu articolul 3 alineatele (1) și (2) din InsBekV, această împrejurare a făcut obiectul unei publicări oficiale pe internet, care a fost suprimată după șase luni.

15.

SCHUFA, o societate privată care furnizează informații comerciale, înregistrează în propriile baze de date informațiile publicate privind liberarea anticipată de restul de datorie, dar nu le suprimă decât după trei ani de la înregistrare.

16.

Interpelată de UF și, respectiv, de AB cu solicitarea de a șterge înregistrările care îi privesc, SCHUFA le‑a indicat că activitatea sa respectă RGPD și că termenul de ștergere de șase luni prevăzut la articolul 3 alineatul (1) din InsBekV nu îi este aplicabil. UF și AB au depus ulterior câte o plângere la HBDI, care este autoritatea de supraveghere competentă.

17.

HBDI s‑a pronunțat cu privire la aceste plângeri prin intermediul a două avize emise la 1 martie 2021 și, respectiv, la 9 iulie 2021. Potrivit acestuia, SCHUFA are dreptul de a stoca înscrisuri negative referitoare la o liberare de restul de datorie dincolo de perioada de îndestulare a unei creanțe.

18.

Împotriva avizului HBDI, UF și AB au introdus fiecare o acțiune la Verwaltungsgericht Wiesbaden (Tribunalul Administrativ din Wiesbaden), instanța de trimitere. În această privință, reclamanții susțin că HBDI este obligat, în cadrul sarcinilor și al competențelor sale, să adopte împotriva SCHUFA măsuri de asigurare a ștergerii înregistrărilor care îi privesc.

19.

În această privință, instanța de trimitere consideră necesar, în primul rând, să clarifice natura juridică a deciziei pe care autoritatea de supraveghere o adoptă cu privire la o plângere întemeiată pe articolul 77 alineatul (1) din RGPD. Această instanță precizează că, în opinia HBDI, dreptul prevăzut la articolul 77 alineatul (1) este conceput ca un drept de petiționare. Ca atare, acesta ar fi supus doar unui control jurisdicțional limitat, care s‑ar limita la verificarea faptului că autoritatea de supraveghere a tratat plângerea și a informat reclamantul cu privire la stadiul și la soluționarea plângerii. În schimb, instanța nu ar trebui să controleze exactitatea pe fond a deciziei adoptate cu privire la plângere.

20.

Cu toate acestea, instanța menționată are îndoieli în ceea ce privește conformitatea acestei analize cu RGPD. În opinia sa, articolul 78 alineatul (1) din acest regulament ar impune o cale de atac jurisdicțională efectivă. Având în vedere obiectivul regulamentului menționat, care, în contextul punerii în aplicare a articolelor 7 și 8 din cartă, constă în a asigura o protecție efectivă a drepturilor și libertăților fundamentale ale persoanelor fizice, tratamentul dreptului la plângere nu poate fi interpretat în mod restrictiv. Prin urmare, instanța de trimitere este înclinată să adopte o interpretare potrivit căreia decizia luată pe fond de autoritatea de supraveghere este supusă pe deplin controlului deplin al instanței, ținând totuși seama de faptul că această autoritate dispune atât de o putere de apreciere, cât și de o putere discreționară și că poate fi obligată să acționeze numai atunci când nu pot fi identificate opțiuni legale.

21.

În al doilea rând, instanța de trimitere are îndoieli cu privire la legalitatea stocării datelor provenite din registrele publice de către societățile de informații comerciale. În această privință, instanța de trimitere precizează că aceste societăți obțin de la stat toate înregistrările provenite din registrele publice, în speță lista debitorilor și lista de insolvență. Potrivit HBDI, aceste date pot servi la aprecierea bonității și pot fi păstrate atât timp cât este necesar pentru îndeplinirea scopurilor pentru care au fost stocate. În plus, în lipsa unei reglementări din partea legiuitorului național, codurile de conduită ar fi fost adoptate de autoritățile de supraveghere, în consultare cu asociația societăților de informații comerciale, aceste coduri prevăzând ștergerea la exact trei ani de la data înregistrării în sistemul de evidență.

22.

Potrivit instanței de trimitere, în lumina articolelor 7 și 8 din cartă, se pune problema dacă înregistrările în registrele publice pot fi transferate în mod identic unor registre private, fără ca datele să fie stocate cu o anumită ocazie. Acest lucru ar echivala, în cele din urmă, cu o păstrare a datelor, mai ales dacă datele au fost deja șterse din registrul național ca urmare a expirării termenului de stocare. În plus, SCHUFA nu ar fi decât o societate care furnizează printre altele informații comerciale, astfel încât datele ar fi stocate în Germania în mai multe moduri, fapt care ar implica o încălcare masivă a dreptului fundamental consacrat la articolul 7 din cartă.

23.

Instanța de trimitere adaugă că prelucrarea și, prin urmare, stocarea datelor sunt autorizate numai dacă se aplică una dintre condițiile prevăzute la articolul 6 alineatul (1) din RGPD, precizându‑se că în speță numai articolul 6 alineatul (1) primul paragraf litera (f) din acest regulament este relevant. Or, este îndoielnic ca un operator de date precum SCHUFA să aibă un interes legitim în sensul acestei dispoziții. În orice caz, o societate de informații comerciale ar avea mereu posibilitatea de a consulta registrele publice, în cazul în care există un interes legitim, atât timp cât datele sunt stocate în acestea.

24.

În plus, legiuitorul german ar prevedea la articolul 3 din InsBekV doar o perioadă de stocare relativ scurtă, de șase luni, a înregistrării în lista de insolvență referitoare la liberarea de restul de datorie. Această reglementare s‑ar întemeia, la rândul său, pe articolul 79 alineatul (5) din Regulamentul 2015/848, potrivit căruia statele membre informează persoanele vizate cu privire la perioada de accesibilitate stabilită pentru datele cu caracter personal stocate în registrele de insolvență, astfel încât să li se permită să își exercite drepturile, în special dreptul la ștergerea datelor. Totuși, acest drept nu ar mai exista în cazul stocării într‑un număr mare de registre private, în care datele ar fi stocate ulterior pentru o perioadă mai lungă.

25.

În fond, chiar dacă se acceptă că stocarea datelor, care provin din registrele publice, de către societățile private care furnizează informații comerciale este legală, ne‑am putea întreba dacă codurile de conduită aprobate în conformitate cu articolul 40 din RGPD, care prevăd un termen de ștergere de trei ani pentru înregistrarea referitoare la liberarea de restul de datorie, trebuie luate în considerare în cadrul evaluării comparative pe care o presupune aprecierea în temeiul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD.

26.

În aceste condiții, Verwaltungsgericht Wiesbaden (Tribunalul Administrativ din Wiesbaden) a decis să suspende judecata și să adreseze Curții următoarele întrebări preliminare:

27.

Decizia de trimitere în cauza C‑26/22 din 23 decembrie 2021 a fost primită la grefa Curții la 11 ianuarie 2022. Decizia de trimitere în cauza C‑64/22 din 31 ianuarie 2022 a fost primită la grefa Curții la 2 februarie 2022.

28.

Prin decizia Curții din 11 februarie 2022, aceste cauze au fost conexate în scopul desfășurării procedurii scrise și orale, precum și al pronunțării hotărârii.

29.

Părțile din cauza principală, SCHUFA, guvernele german și portughez, precum și Comisia Europeană au depus observații scrise în termenul prevăzut la articolul 23 din Statutul Curții de Justiție a Uniunii Europene.

30.

În ședința din 26 ianuarie 2023, mandatarii ad litem ai părților din cauza principală, ai SCHUFA și agenții Comisiei au prezentat observații orale.

31.

Întrucât încrederea reciprocă constituie baza oricărui angajament contractual într‑o economie de piață, este, în principiu, de înțeles dintr‑un punct de vedere antreprenorial că furnizorii de servicii și de bunuri doresc să își cunoască clienții, precum și riscurile inerente unui astfel de angajament contractual. Societățile care furnizează informații comerciale pot contribui la stabilirea acestei încrederi reciproce prin metode statistice care permit întreprinderilor să stabilească dacă sunt în speță îndeplinite anumite criterii relevante, inclusiv bonitatea clienților lor. Procedând astfel, ele ajută întreprinderile să se conformeze diferitelor dispoziții de drept al Uniunii care le impun o astfel de obligație în mod specific pentru anumite categorii de contracte, în special pentru contractele de credit ( 4 ). Totuși, aceste societăți nu sunt singurele care furnizează astfel de servicii. Recunoscând necesitatea de a asigura o anumită transparență și previzibilitate a tranzacțiilor financiare, legiuitorul Uniunii impune statelor membre să instituie și să mențină unul sau mai multe registre în care sunt publicate informații privind procedurile de insolvență.

32.

Rezultă că vor exista în paralel mai multe baze de date, și anume, pe de o parte, registrele „oficiale” gestionate de autoritățile publice și, pe de altă parte, bazele de date administrate de societăți private. Acest paralelism poate conduce la o concurență între sisteme și poate chiar suscita conflicte juridice dacă regimurile juridice la care sunt supuse aceste registre diferă în mod semnificativ. Diferențele de reglementare pot deveni deosebit de problematice în cazul în care afectează protecția datelor, întrucât, indiferent de entitatea publică sau privată care gestionează registrul, aceasta trebuie să respecte interesul persoanelor vizate în privința modului în care aceste date sunt gestionate și înregistrate. Într‑adevăr, întrucât informațiile referitoare la situația economică a unei persoane se caracterizează prin sensibilitatea lor în ceea ce privește respectarea dreptului la protecția datelor cu caracter personal și a vieții private, este necesară o vigilență deosebită.

33.

RGPD, aplicabil de la 25 mai 2018, a creat un cadru juridic care urmărește să țină seama de interesele menționate mai sus în întreaga Uniune, printre altele prin impunerea anumitor condiții privind prelucrarea datelor cu caracter personal. Astfel, articolul 6 alineatul (1) primul paragraf litera (f) din RGPD impune ca prelucrarea să fie necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal. Cu alte cuvinte, legalitatea prelucrării trebuie să rezulte dintr‑o evaluare comparativă a diferitelor interese aflate în joc, fiind necesar ca interesele legitime urmărite de operator sau de o parte terță să prevaleze. Este de competența autorității de supraveghere care, în temeiul articolului 77 alineatul (1) din RGPD, va trebui să soluționeze orice eventuală plângere din partea persoanei vizate referitoare la încălcarea drepturilor sale fundamentale să verifice dacă aceste condiții sunt îndeplinite. În sfârșit, în cazul în care persoana vizată decide să exercite o cale de atac împotriva deciziilor autorității de supraveghere, în conformitate cu articolul 78 alineatul (1) din RGPD, va reveni instanțelor naționale sarcina de a asigura un control jurisdicțional efectiv.

34.

Punctele precedente din prezentele concluzii redau pe scurt diferitele aspecte juridice ridicate de instanța de trimitere în cererile sale de decizie preliminară. Prima întrebare privește natura juridică a unei decizii luate de autoritatea de supraveghere sesizată cu o plângere, precum și întinderea controlului jurisdicțional pe care instanța îl poate exercita în cadrul unei căi de atac introduse împotriva unei astfel de decizii. Întrebările a doua‑a cincea privesc în esență legalitatea stocării datelor cu caracter personal provenite din registrele publice în cadrul societăților de informații comerciale. Întrebările preliminare vor fi examinate în continuare în ordinea în care au fost adresate de instanța de trimitere.

35.

Având în vedere că prima întrebare privește cele două etape ale căii de atac administrative, și anume plângerea la autoritatea de supraveghere și calea de atac jurisdicțională la o autoritate judiciară, reglementate de articolele 77 și, respectiv, 78 din RGPD, considerăm că este oportun să descriem pe scurt aceste două etape și, în acest fel, să abordăm aspectele juridice asupra cărora instanța de trimitere are îndoieli.

36.

După cum am arătat în observațiile noastre introductive, RGPD urmărește să asigure protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, recunoscută ca un drept fundamental de articolul 8 alineatul (1) din cartă, precum și de articolul 16 alineatul (1) TFUE. Întrucât orice prelucrare a datelor cu caracter personal poate avea un impact asupra vieții private, trebuie menționată de asemenea protecția garantată de articolul 7 din cartă ( 5 ). În plus, rezultă din articolul 1 alineatul (2) din RGPD coroborat cu considerentele (10), (11) și (13) ale acestui regulament că legiuitorul Uniunii încredințează această sarcină organelor, oficiilor și agențiilor Uniunii, dar și autorităților competente din statele membre, printre care se numără autoritățile de supraveghere și instanțele naționale ( 6 ).

37.

În această privință, trebuie remarcat că articolul 8 alineatul (3) din cartă prevede că respectarea normelor privind protecția datelor cu caracter personal se supune controlului unei autorități independente. Articolul 57 alineatul (1) litera (a) din RGPD pune în aplicare această obligație derivată din dreptul primar, prevăzând că fiecare autoritate de supraveghere are sarcina de a monitoriza și de a asigura aplicarea acestui regulament. Tratarea plângerilor depuse de o persoană vizată face parte din responsabilitățile sale, astfel cum rezultă în mod expres din articolul 57 alineatul (1) litera (f) din RGPD.

38.

Curtea a statuat că, în temeiul acestei dispoziții, „fiecare autoritate de supraveghere este obligată, pe teritoriul său, să trateze plângerile pe care orice persoană are dreptul să le depună în conformitate cu articolul 77 alineatul (1) din RGPD atunci când consideră că prelucrarea datelor cu caracter personal care o privesc constituie o încălcare a regulamentului menționat și să examineze obiectul acestora în măsura în care este necesar” ( 7 ). În acest context, trebuie atrasă atenția asupra faptului că Curtea a subliniat obligația care revine autorității de supraveghere de a „trata o astfel de plângere cu toată diligența necesară” pentru a asigura respectarea dispozițiilor din RGPD. În mod similar, trebuie remarcat că în considerentul (141) al RGPD se precizează că „[i]nvestigația în urma unei plângeri ar trebui să fie efectuată […] în măsura în care este necesar, în funcție de caz” (sublinierea noastră).

39.

Toate aceste elemente ne determină să credem că autoritatea de supraveghere are o obligație imperativă de a trata plângerile depuse de o persoană vizată cu toată diligența cerută în speță ( 8 ). În măsura în care orice încălcare a RGPD este în principiu susceptibilă să constituie o încălcare a drepturilor fundamentale, ar fi, în opinia noastră, incompatibil cu sistemul instituit prin acest regulament să se acorde autorității de supraveghere o putere discreționară de a trata sau nu plângerile. O astfel de abordare ar ignora rolul crucial pe care RGPD îl conferă autorității de supraveghere de a asigura respectarea normelor privind protecția datelor cu caracter personal și, prin urmare, ar fi contrară obiectivelor urmărite de legiuitorul Uniunii ( 9 ). În sfârșit, nu trebuie uitat că plângerile constituie o sursă valoroasă de informații pentru autoritatea de supraveghere, care îi permit acesteia să identifice încălcările ( 10 ).

40.

Această interpretare este cu atât mai convingătoare cu cât articolul 57 alineatul (1) litera (f) din RGPD impune o serie de cerințe autorității de supraveghere în contextul tratării unei astfel de plângeri, și anume obligația de a investiga într‑o măsură adecvată obiectul plângerii și de a informa reclamantul cu privire la evoluția și rezultatul investigației, într‑un termen rezonabil, în special dacă este necesară efectuarea unei investigații mai amănunțite sau coordonarea cu o altă autoritate de supraveghere. Acestor cerințe li se adaugă obligația, menționată la articolul 77 alineatul (2) din RGPD, de a informa reclamantul cu privire la evoluția și rezultatul plângerii, inclusiv posibilitatea de a exercita o cale de atac jurisdicțională în temeiul articolului 78 din RGPD. Toate aceste cerințe, care se încadrează în noțiunea de „bună administrare” menționată la articolul 41 din cartă în ceea ce privește în mod specific activitățile instituțiilor și organelor Uniunii ( 11 ), au ca scop consolidarea procedurii privind plângerile pentru a face din aceasta o veritabilă cale de atac administrativă.

41.

Chiar dacă autoritatea de supraveghere, în calitate de garant al respectării dispozițiilor RGPD, este obligată să trateze plângerile care îi sunt adresate, există mai multe elemente care pledează în favoarea unei interpretări în sensul că dispune de o putere de apreciere cu ocazia examinării acestor plângeri, precum și de o anumită marjă de manevră în ceea ce privește alegerea mijloacelor adecvate pentru îndeplinirea sarcinilor sale. Într‑adevăr, domnul avocat general Saugmandsgaard Øe a observat că articolul 58 alineatul (1) din RGPD „atribuie […] autorităților de supraveghere competențe de investigare importante” și că autoritățile de supraveghere dispun, în temeiul articolului 58 alineatul (2) din RGPD, de „o gamă largă de mijloace […] pentru a‑și îndeplini sarcina care [le]‑a fost atribuită”, făcând referire în acest context la diferitele competențe corective enumerate în această dispoziție ( 12 ). În continuare, acesta a precizat că, deși autoritatea de supraveghere competentă „este obligată să își îndeplinească pe deplin misiunea de supraveghere care i‑a fost încredințată”, „alegerea celui mai eficient mijloc ține de aprecierea [sa] având în vedere toate împrejurările […] în cauză” ( 13 ). Nu putem decât să achiesăm la această interpretare.

42.

Descrierea detaliată a competenței autorităților de supraveghere de a adopta măsuri corective evidențiază faptul că legiuitorul Uniunii nu a urmărit să facă din procedura privind plângerea o procedură asemănătoare celei privind petiția. Dimpotrivă, obiectivul legislativ pare să fi fost acela de a crea un mecanism capabil să protejeze în mod eficient drepturile și interesele persoanelor care depun plângeri. Însă, în opinia noastră, este clar că această marjă de apreciere nu ar trebui interpretată în sensul că autoritatea de supraveghere ar dispune de o putere nelimitată care o abilitează să acționeze în mod arbitrar. Din contră, autoritatea de supraveghere este obligată să exercite marja de manevră menționată în limitele pe care i le impune dreptul Uniunii. Nici din acest motiv nu poate fi exclusă posibilitatea ca autoritatea de supraveghere, în calitate de organ administrativ, să fie obligată să adopte o anumită măsură ca urmare a împrejurărilor specifice ale speței, în special în cazul în care există un risc grav de încălcare a drepturilor fundamentale ale persoanei vizate.

43.

Această interpretare, care conferă autorității de supraveghere o anumită marjă de manevră în alegerea mijloacelor, se coroborează cu articolul 58 alineatul (4) din RGPD, care prevede că „[e]xercitarea competențelor conferite autorității de supraveghere în temeiul prezentului articol face obiectul unor garanții adecvate, inclusiv căi de atac judiciare eficiente” (sublinierea noastră), în conformitate cu articolul 47 din cartă. Articolul 78 alineatele (1) și (2) din RGPD recunoaște de altfel dreptul fiecărei persoane de a exercita o cale de atac jurisdicțională efectivă împotriva unei decizii care o vizează, obligatorie din punct de vedere juridic, a unei autorități de supraveghere sau în cazul în care autoritatea respectivă omite să trateze plângerea sa.

44.

Ajungem astfel la problema naturii juridice a deciziilor luate de autoritatea de supraveghere, pe care instanța de trimitere a ridicat‑o în cererile sale de decizie preliminară. În această privință, trebuie să se facă trimitere la considerentul (141) al RGPD, din care rezultă că „[o]rice persoană vizată ar trebui să aibă dreptul de a depune o plângere la o […] autoritate de supraveghere […], precum și dreptul la o cale de atac eficientă în conformitate cu articolul 47 din cartă, în cazul în care persoana vizată consideră că drepturile sale în temeiul prezentului regulament sunt încălcate sau în cazul în care autoritatea de supraveghere nu reacționează la o plângere, respinge sau refuză parțial sau total o plângere sau nu acționează atunci când o astfel de acțiune este necesară pentru asigurarea protecției drepturilor persoanei vizate” (sublinierea noastră). Acest considerent ține cont de faptul că o decizie a autorității de supraveghere poate cauza prejudicii persoanei vizate, în special în cazul în care concluzionează că plângerea este nefondată, consideră că nu există nicio încălcare a RGPD și nu ia deci măsuri pentru a remedia situația care a dat naștere plângerii. Legiuitorul Uniunii recunoaște efectul obligatoriu din punct de vedere juridic al unei astfel de decizii și, în consecință, deschide autorului plângerii posibilitatea de a exercita o cale de atac la o instanță națională.

45.

În mod similar, trebuie remarcat că autoritatea de supraveghere nu are posibilitatea de a nu reacționa, întrucât din articolul 78 alineatul (2) din RGPD rezultă că „fiecare persoană vizată are dreptul de a exercita o cale de atac judiciară eficientă în cazul în care autoritatea de supraveghere care este competentă în temeiul articolelor 55 și 56 nu tratează o plângere sau nu informează persoana vizată în termen de trei luni cu privire la progresele sau la soluționarea plângerii depuse în temeiul articolului 77”. Această împrejurare face imposibil să fie asimilată procedura privind plângerea celei privind o petiție.

46.

În prezenta cauză, astfel cum a arătat instanța de trimitere în deciziile sale de trimitere, autoritatea de supraveghere a adoptat decizii obligatorii din punct de vedere juridic în privința reclamanților din cauza principală. Aceasta a constatat în esență că prelucrarea de către SCHUFA a datelor cu caracter personal ale reclamanților era legală în temeiul articolului 6 alineatul (1) primul paragraf literele (b) și (f) din RGPD și, ca atare, a exclus în mod implicit recurgerea la o măsură de investigare sau la una corectivă.

47.

Calea de atac jurisdicțională prevăzută la articolul 78 din RGPD constituie cea de a doua etapă a căii de atac administrative prevăzute de acest regulament. Trebuie subliniat în acest context că atât „plângerea” la autoritatea de supraveghere, cât și „calea de atac jurisdicțională” sunt concepute ca „drepturi” ale persoanei vizate, ceea ce este întru totul de înțeles dacă se pleacă de la ideea că articolele 77-79 din RGPD vizează punerea în aplicare a dreptului la o cale de atac efectivă, consacrat la articolul 47 din cartă. După cum am arătat anterior ( 14 ), o interpretare coroborată a articolului 58 alineatul (4) și a articolului 78 din RGPD, în lumina considerentului (141) al acestui regulament, permite identificarea în mod clar a acestui obiectiv ( 15 ).

48.

În ceea ce privește întinderea controlului jurisdicțional asupra deciziilor luate de autoritatea de supraveghere, trebuie reamintit că normele naționale privind procedura administrativă se aplică în general în contextul autonomiei procedurale, sub rezerva principiilor echivalenței și efectivității ( 16 ). Cu toate acestea, considerăm că o cale de atac poate fi „efectivă” în sensul articolului 47 din cartă și al articolului 78 alineatul (1) din RGPD numai dacă instanța națională competentă are puterea și obligația de a supune decizia pe fond a autorității de supraveghere unui control jurisdicțional complet pentru a verifica dacă autoritatea de supraveghere a aplicat în mod corect RGPD.

49.

Astfel cum a reamintit Curtea în jurisprudența sa, „[o] reglementare care nu prevede nicio posibilitate a justițiabilului de a exercita căi legale pentru a avea acces la date cu caracter personal care îl privesc sau pentru a obține rectificarea sau ștergerea unor astfel de date nu respectă nici substanța dreptului fundamental la o protecție jurisdicțională efectivă, astfel cum este consacrat la articolul 47 din cartă. În realitate, articolul 47 primul paragraf din cartă impune ca orice persoană ale cărei drepturi și libertăți garantate de dreptul Uniunii sunt încălcate să aibă dreptul la o cale de atac efectivă în fața unei instanțe judecătorești, cu respectarea condițiilor stabilite de acest articol. În această privință, existența însăși a unui control jurisdicțional efectiv menit să asigure respectarea dispozițiilor dreptului Uniunii este inerentă existenței unui stat de drept” ( 17 ).

50.

Pentru a determina întinderea controlului jurisdicțional asupra deciziilor luate de autoritatea de supraveghere, considerăm că este relevant să menționăm mai întâi considerentul (141) al RGPD, din care rezultă că „[i]nvestigația în urma unei plângeri ar trebui să fie efectuată, sub control ju[risdicțional], în măsura în care este necesar, în funcție de caz” (sublinierea noastră). În al doilea rând, trebuie amintit considerentul (143) al RGPD, care precizează că „orice persoană fizică sau juridică ar trebui să aibă dreptul la o cale de atac ju[risdicțională efectivă] în fața instanței naționale competente împotriva unei decizii a unei autorități de supraveghere care produce efecte juridice privind respectiva persoană. O astfel de decizie se referă în special la exercitarea competențelor de investigare, corective și de autorizare de către autoritatea de supraveghere sau la refuzul sau respingerea plângerilor” (sublinierea noastră). În opinia noastră, aceste pasaje trebuie interpretate în sensul că controlul jurisdicțional care se impune a fi efectuat de instanța națională în temeiul articolului 78 din RGPD trebuie să fie complet, adică să se extindă la toate aspectele relevante care intră sub incidența puterii de apreciere exercitate de autoritatea de supraveghere la examinarea obiectului unei plângeri, precum și sub incidența marjei discreționare a acesteia de a alege măsurile de investigare și corective.

51.

Obiectivul legiuitorului Uniunii de a garanta un control jurisdicțional complet asupra oricărei decizii a unei autorități de supraveghere care produce efecte juridice față de persoana vizată care i‑a adresat o plângere devine deosebit de evident dacă se ia în considerare un alt pasaj din considerentul (143) al RGPD, care menționează că „[a]cțiunile împotriva unei autorități de supraveghere ar trebui să fie aduse în fața instanțelor statului membru în care este stabilită autoritatea de supraveghere și ar trebui să se desfășoare în conformitate cu dreptul procesual al statului membru respectiv. Respectivele instanțe ar trebui să își exercite competența judiciară deplină, care ar trebui să includă competența de a examina toate aspectele de fapt sau de drept care au relevanță pentru litigiul cu care acestea sunt sesizate” (sublinierea noastră) ( 18 ). Considerăm că numai un control jurisdicțional de această amploare îndeplinește cerințele articolului 47 din cartă ( 19 ).

52.

În schimb, considerăm că argumentele invocate de SCHUFA și HBDI în favoarea unui control jurisdicțional limitat asupra deciziilor autorităților de supraveghere nu sunt convingătoare. În primul rând, „independența” recunoscută autorității de supraveghere în temeiul articolului 52 din RGPD, care materializează cerința prevăzută la articolul 8 alineatul (3) din cartă, este menită să protejeze această autoritate de orice ingerință nejustificată, dar nu o dispensează de obligația de a‑și îndeplini sarcinile și de a‑și exercita competențele în deplină conformitate cu dreptul Uniunii și de a supune deciziile sale unui control jurisdicțional efectiv, dar și orice altă autoritate națională. În al doilea rând, existența unui drept la o cale de atac jurisdicțională împotriva operatorului de date, prevăzut la articolul 79 din RGPD, nu exclude dreptul de a introduce o cale de atac împotriva unei decizii luate de autoritatea de supraveghere, în temeiul articolului 78 din RGPD. Aceste căi de atac coexistă în mod autonom, fără ca una să fie subsidiară în raport cu cealaltă, astfel încât acestea pot fi exercitate în paralel ( 20 ). Prin urmare, nu li se poate reproșa reclamanților că au acționat în mod nelegal în apărarea drepturilor lor protejate de RGPD pentru motivul că au favorizat o anumită cale de atac. În consecință, aceste argumente trebuie respinse.

53.

Având în vedere considerentele care precedă, este necesar să se răspundă la prima întrebare preliminară că articolul 78 alineatul (1) din RGPD trebuie interpretat în sensul că rezultă din această dispoziție că o decizie obligatorie din punct de vedere juridic a unei autorități de supraveghere este supusă unui control jurisdicțional complet pe fond.

54.

Întrebările preliminare a doua‑a cincea privesc în esență legalitatea stocării datelor cu caracter personal provenite din registre publice la societăți care furnizează informații comerciale. Întrebările adresate de instanța de trimitere ridică o serie de probleme juridice legate de această practică, care vor trebui examinate în mod structurat. Pentru claritate, considerăm că este oportună regruparea întrebărilor în funcție de temă și abordarea lor în această ordine.

55.

Pentru a oferi un răspuns util instanței de trimitere, care să îi permită acesteia să soluționeze cauza cu care este sesizată, Curtea va trebui să interpreteze mai multe dispoziții din RGPD care, deși nu au fost menționate în mod expres în întrebări, par totuși relevante. O astfel de abordare este posibilă având în vedere că, potrivit unei jurisprudențe constante, Curtea poate extrage din ansamblul elementelor furnizate de instanța de trimitere și mai ales din motivarea deciziei de trimitere normele și principiile de drept al Uniunii care necesită o interpretare, având în vedere obiectul litigiului principal ( 21 ).

56.

Considerăm că o astfel de analiză aprofundată este cu atât mai necesară cu cât instanța de trimitere se referă uneori în întrebările sale exclusiv la articolele 7 și 8 din cartă, deși aceste dispoziții nu trebuie aplicate în mod izolat, după cum a explicat Curtea, ci trebuie luate în considerare în cadrul evaluării comparative prevăzute la articolul 6 alineatul (1) primul paragraf litera (f) din RGPD ( 22 ). În plus, trebuie reamintit în acest context că, în măsura în care dispozițiile RGPD pun în aplicare drepturile fundamentale în cauză, interpretarea dreptului derivat reprezintă, în mod logic, punctul de plecare al oricărei exegeze, fiind necesar ca acesta să fie interpretat în lumina dreptului primar din care carta face parte integrantă ( 23 ). Prin urmare, vom include în analiza care urmează toate dispozițiile pe care le considerăm relevante.

57.

Capitolul II din RGPD, intitulat „Principii”, stabilește principiile referitoare la prelucrarea datelor cu caracter personal. Vom examina în continuare dacă practica societăților care furnizează informații comerciale de a stoca datele cu caracter personal provenite din registrele publice timp de trei ani este conformă cu principiile pe care le considerăm cele mai relevante în prezentul context, și anume principiile legalității, limitărilor legate de scop și reducerii la minimum a datelor.

58.

În scopul analizei, ne vom baza pe informațiile furnizate de instanța de trimitere și de SCHUFA, subliniind totuși că revine acesteia din urmă, în calitate de operator de date, să demonstreze că principiile menționate anterior au fost respectate, în conformitate cu principiul responsabilității prevăzut la articolul 5 alineatul (2) din RGPD.

59.

Articolul 5 alineatul (1) litera (a) din RGPD impune ca datele cu caracter personal să fie prelucrate în mod legal, echitabil și transparent față de persoana vizată. În conformitate cu articolul 6 alineatul (1) din RGPD, prelucrarea datelor cu caracter personal este legală numai dacă este îndeplinită condiția referitoare la unul dintre motivele pe care acesta le enumeră. Astfel cum a statuat Curtea, este vorba despre o listă exhaustivă și limitativă de cazuri în care o astfel de prelucrare poate fi considerată legală ( 24 ). Instanța de trimitere solicită să se stabilească în esență dacă articolul 6 alineatul (1) primul paragraf litera (f) din GDPR permite unei societăți private care furnizează informații comerciale să stocheze date cu caracter personal provenite din registre publice pentru a pune aceste date, la cerere, la dispoziția unui client.

60.

Potrivit jurisprudenței Curții ( 25 ), articolul 6 alineatul (1) primul paragraf litera (f) din RGPD prevede trei condiții cumulative pentru ca o prelucrare de date cu caracter personal să fie legală, și anume, în primul rând, urmărirea unui interes legitim de către operator sau de către terțul sau terții cărora le sunt comunicate datele, în al doilea rând, necesitatea prelucrării datelor cu caracter personal pentru realizarea interesului legitim urmărit și, în al treilea rând, condiția ca drepturile și libertățile fundamentale ale persoanei vizate de protecția datelor să nu prevaleze. Chiar dacă este de competența instanței de trimitere să aprecieze dacă aceste condiții sunt îndeplinite, revine totuși Curții sarcina să o ghideze în această apreciere prin clarificarea problemelor de drept ridicate.

61.

În primul rând, în ceea ce privește urmărirea unui „interes legitim”, dorim să reamintim că RGPD și jurisprudența recunosc o gamă largă de interese considerate legitime ( 26 ), precizând în același timp că, în conformitate cu articolul 13 alineatul (1) litera (d) din RGPD, operatorului îi revine sarcina de a indica interesele legitime urmărite în contextul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD.

62.

SCHUFA susține că prelucrarea datelor în cauză servește urmăririi unor interese legitime de o importanță deosebită. Mai exact, societățile care furnizează informații comerciale ar prelucra date necesare evaluării bonității persoanelor sau a întreprinderilor pentru a putea pune aceste informații la dispoziția partenerilor lor contractuali. Acest lucru ar proteja de asemenea interesele economice ale întreprinderilor care doresc să încheie contracte referitoare la un credit. În plus, determinarea bonității și furnizarea de informații privind bonitatea ar constitui baza creditării și a capacității de funcționare a economiei. Activitatea acestor societăți ar contribui totodată la îndeplinirea dezideratelor comerciale ale persoanelor interesate de operațiuni de creditare, întrucât informațiile ar permite o examinare rapidă și nebirocratică.

63.

Considerăm că nu există în principiu niciun motiv obiectiv pentru a pune la îndoială legitimitatea interesului SCHUFA de a furniza clienților săi serviciul comercial descris mai sus și nici legitimitatea interesului clienților SCHUFA de a recurge la serviciile sale pentru evaluarea bonității potențialilor parteneri de afaceri în sensul menționat. Chiar dacă este adevărat că prestarea acestui tip de servicii are ca scop obținerea unei remunerații și constituie, prin urmare, modelul de afaceri al unei societăți private, nu este mai puțin adevărat că această împrejurare nu este în sine suficientă pentru a repune în discuție faptul că prima condiție menționată la articolul 6 alineatul (1) primul paragraf litera (f) din RGPD este îndeplinită în speță.

64.

Acest lucru este cu atât mai adevărat în cazul în care obiectivul urmărit de serviciul în cauză este în esență similar celui vizat de legiuitorul Uniunii la adoptarea articolului 24 din Regulamentul 2015/848, care impune statelor membre să instituie și să mențină pe teritoriul lor unul sau mai multe registre în care sunt publicate informații privind procedurile de insolvență. După cum rezultă din considerentul (76) al acestui regulament, scopul acestor registre publice este „[o] mai bun[ă] inform[are] a creditorilor și a instanțelor relevante și […] preveni[rea] deschider[ii] de proceduri paralele de insolvență”. Apreciem că serviciul oferit de SCHUFA nu are un alt scop. Întrebarea dacă paralelismul sistemelor poate conduce la conflicte juridice va fi examinată mai jos. În acest stadiu al analizei, este suficient să reținem că, având în vedere această identitate de obiective, prelucrarea datelor efectuată de SCHUFA trebuie considerată ca servind un interes legitim în sensul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD.

65.

În ceea ce privește condiția privind necesitatea prelucrării datelor cu caracter personal pentru realizarea interesului legitim urmărit, potrivit jurisprudenței Curții, derogările de la principiul protecției datelor cu caracter personal și restrângerile aduse acestuia trebuie să fie operate în limitele strictului necesar ( 27 ). Prin urmare, trebuie să existe o legătură strânsă între prelucrare și interesul urmărit, în absența unor alternative care să respecte într‑o mai mare măsură protecția datelor cu caracter personal, întrucât nu este suficient ca prelucrarea să aibă o simplă utilitate pentru operator.

66.

În prezenta cauză, ar trebui să se demonstreze că recuperarea datelor cu caracter personal privind insolvența provenite din registre publice și stocarea privată a acestora reprezintă singura posibilitate pentru SCHUFA de a oferi aceste informații precise clienților săi în scopuri comerciale. Nu se poate exclude faptul că SCHUFA poate să ofere serviciul comercial și să furnizeze informații privind bonitatea persoanelor utilizând alte date disponibile. Revine instanței de trimitere să verifice dacă această posibilitate ar mai permite SCHUFA să ofere în mod util acest serviciu comercial clienților săi.

67.

SCHUFA consideră că prelucrarea datelor este necesară. Potrivit acesteia, în cazul în care o societate care furnizează informații comerciale ar aștepta o cerere concretă înainte de a începe să colecteze datele, ar fi imposibil să furnizeze informații în timp util. SCHUFA estimează că faptul că datele sunt (de asemenea) accesibile publicului pentru o anumită perioadă nu are nicio incidență asupra intereselor legitime ale societăților care furnizează informații comerciale și nici asupra necesității prelucrării.

68.

În cazul în care stocarea datelor cu caracter personal provenite din registre publice nu ar fi necesară pentru a permite SCHUFA să ofere serviciul său comercial clienților acesteia, prelucrarea respectivă nu ar putea fi legală în temeiul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD. În schimb, în cazul în care ar fi îndeplinită a doua condiție din această dispoziție, instanța de trimitere ar trebui să examineze în continuare a treia și ultima condiție cumulativă prevăzută de dispoziția menționată.

69.

În sfârșit, în ceea ce privește evaluarea comparativă, pe de o parte, a intereselor operatorului de date și, pe de altă parte, a intereselor sau a drepturilor și libertăților fundamentale ale persoanei vizate, potrivit jurisprudenței Curții, revine instanței de trimitere sarcina de a realiza o evaluare comparativă a intereselor aflate în joc ( 28 ). În această privință, orientările fostului Grup de lucru„Articolul 29”, devenit „Comitetul European pentru Protecția Datelor”, ale cărui sarcini sunt prevăzute la articolul 70 din RGPD, enumeră următoarele criterii care trebuie luate în considerare la efectuarea acestei evaluări comparative: (i) evaluarea interesului legitim al operatorului de date; (ii) impactul asupra persoanelor vizate; (iii) bilanțul provizoriu și (iv) garanțiile suplimentare instituite de operatorul de date pentru a preveni orice impact nejustificat asupra persoanelor vizate ( 29 ). În interesul unei analize detaliate și logice, propunem aplicarea acestor criterii în cauzele principale. O astfel de abordare va contribui, în plus, la o aplicare mai coerentă a RGPD, în conformitate cu obiectivele urmărite de legiuitorul Uniunii.

70.

În ceea ce privește primul criteriu, trebuie constatat că interesul atât al SCHUFA, cât și al clienților săi este de natură pur economică. Unele societăți private stochează date cu caracter personal luate din registre publice pentru a oferi clienților lor serviciul constând în furnizarea de informații privind bonitatea persoanei vizate folosind în special aceste date. După cum am explicat anterior ( 30 ), un astfel de interes pare legitim în scopul prezentei analize.

71.

În ceea ce privește al doilea criteriu, și anume impactul prelucrării asupra persoanei vizate, termenul de ștergere pare a fi factorul relevant. Cu cât durata de stocare a datelor în bazele de date ale unor societăți private care furnizează informații comerciale este mai lungă, cu atât efectele asupra persoanei vizate sunt mai importante. În speță, datele cu caracter personal ale reclamanților din cauzele principale au fost prelucrate în registrul public în vederea „unei mai bune informări a creditorilor și a instanțelor relevante și pentru a preveni deschiderea de proceduri paralele de insolvență”, astfel cum se prevede în considerentul (76) al Regulamentului 2015/848. Cu ocazia evaluării comparative a diferitelor interese, legiuitorul german a considerat că perioada necesară pentru publicarea datelor referitoare la o procedură de insolvență în astfel de registre publice în vederea atingerii acestui obiectiv era de șase luni. Prin urmare, stocarea datelor cu caracter personal după această perioadă de șase luni pare a priori a avea un impact negativ considerabil asupra persoanei vizate.

72.

Rezultă din jurisprudența Curții că există alți factori care trebuie luați în considerare în cadrul analizei, și anume modalitățile de acces la bazele de date, precum și facilitățile oferite pentru diseminarea datelor cu caracter personal ( 31 ). În termeni simpli, cu cât informațiile sunt mai ușor accesibile publicului, cu atât ingerința în drepturile fundamentale ale persoanei vizate este mai gravă. Acest lucru este valabil în special atunci când numărul de utilizatori care au acces la datele persoanei vizate este unul semnificativ ( 32 ). În consecință, este evident, în opinia noastră că, chiar dacă datele sunt deja disponibile în registre publice pentru perioada menționată de șase luni, faptul că acestea sunt stocate și disponibile în paralel în bazele de date ale societăților private care furnizează informații comerciale are un impact suplimentar asupra vieții private a persoanei, care se adaugă la consecințele negative ale disponibilității acestor date în registre publice.

73.

Un factor suplimentar care trebuie luat în considerare în cadrul analizei este natura eventual sensibilă a datelor în cauză ( 33 ). În general, se poate afirma că impactul asupra persoanei vizate crește în funcție de sensibilitatea datelor cu caracter personal. În această privință, trebuie remarcat că din jurisprudența Curții rezultă că datele cu caracter personal referitoare la recuperarea creanțelor sunt într‑adevăr date sensibile pentru viața privată a persoanei vizate ( 34 ). Punerea la dispoziția unui număr în principiu nelimitat de utilizatori a acestui tip de date trebuie considerată, așadar, o ingerință substanțială în drepturile fundamentale ale persoanei respective ( 35 ).

74.

În sfârșit, este indispensabil, în opinia noastră, să se țină seama și de factorul timp. Într‑adevăr, chiar și o prelucrare legală a datelor poate să nu mai fie conformă cu RGPD de‑a lungul timpului, atunci când aceste date nu sunt sau nu mai sunt relevante ori sunt excesive în raport cu scopul pentru care au fost stocate inițial. Din această perspectivă, ne întrebăm în mod serios cum s‑ar putea justifica stocarea datelor cu caracter personal pentru o perioadă de trei ani, în condițiile în care legiuitorul național consideră că o perioadă de stocare de șase luni, adică o durată mult mai scurtă, este mai mult decât suficientă pentru a ține seama de interesele comerciale ale operatorilor economici. Trebuie să remarcăm că SCHUFA nu a fost în măsură să ofere un răspuns clar și convingător la această întrebare ( 36 ), chiar dacă, potrivit articolului 5 alineatul (2) din RGPD, îi revine sarcina de a demonstra că au fost respectate principiile referitoare la prelucrarea datelor cu caracter personal ( 37 ).

75.

O evaluare a tuturor elementelor menționate la punctele anterioare ne conduce la concluzia că consecințele negative considerabile pe care stocarea datelor le va avea asupra persoanei vizate după perioada de șase luni în cauză par să prevaleze asupra interesului comercial al societății private și al clienților săi de stocare a datelor după această perioadă. În acest context, este important de subliniat că liberarea de restul de datorie acordată este menită să permită beneficiarului să participe din nou la viața economică ( 38 ). Reclamanții din cauzele principale și Comisia au atras atenția asupra acestui aspect și în ședință. Or, acest obiectiv ar fi contracarat dacă s‑ar permite societăților private care furnizează informații comerciale să stocheze date cu caracter personal în bazele lor de date după ce aceste date au fost șterse din registrul public.

76.

În sfârșit, în ceea ce privește eventualele garanții suplimentare oferite de operatorul de date pentru a preveni orice impact nejustificat asupra persoanelor vizate, în decizia de trimitere sau în observațiile formulate de SCHUFA nu există indicii care să permită identificarea unor astfel de garanții.

77.

Având în vedere considerațiile precedente, considerăm că stocarea datelor de către o societate privată care furnizează informații comerciale nu poate fi legală în temeiul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD din momentul în care datele cu caracter personal referitoare la o insolvență vor fi fost șterse din registrele publice.

78.

În ceea ce privește perioada de șase luni în cursul căreia datele cu caracter personal sunt disponibile și în registre publice, revine instanței de trimitere sarcina de a efectua o evaluare comparativă a intereselor și a efectelor menționate anterior asupra persoanei vizate pentru a stabili dacă stocarea paralelă a acestor date de societăți private care furnizează informații comerciale este legală în temeiul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD.

79.

În conformitate cu principiul limitărilor legate de scop prevăzut la articolul 5 alineatul (1) litera (b) din RGPD, trebuie să se asigure faptul că datele cu caracter personal colectate în scopuri determinate nu sunt prelucrate ulterior într‑un mod incompatibil cu aceste scopuri. În speță, datele referitoare la insolvență și la o liberare de restul de datorie au fost prelucrate de autorități publice în contextul îndeplinirii unor obligații legale.

80.

Cu toate acestea, în ceea ce privește utilizarea ulterioară a datelor de către o societate privată, este necesar să se examineze, în raport cu RGPD și aplicând criteriile prevăzute la articolul 6 alineatul (4) din acest regulament, dacă scopul urmărit este compatibil cu scopul inițial. Literele (a), (b) și (d) ale acestei dispoziții sunt deosebit de relevante în speță. Acestea stabilesc următoarele criterii: (i) legătura dintre scopul inițial și scopul ulterior, (ii) contextul în care datele au fost colectate și în special relația dintre persoanele vizate și operatorul de date, precum și (iii) posibilele consecințe pentru persoana vizată ale prelucrării ulterioare preconizate.

81.

În primul rând, se pare că legătura dintre scopuri este slabă, fie și numai pentru că scopul inițial este prevăzut de lege, mai concret de dreptul Uniunii care impune statelor membre obligația să instituie și să mențină registre ( 39 ), iar operatorul de date este o autoritate publică care acționează în cadrul sarcinilor care i‑au fost încredințate prin lege, în timp ce scopul ulterior este urmărit de o entitate privată, în cadrul unei activități comerciale care constă în furnizarea de informații economice despre particulari.

82.

În al doilea rând, în ceea ce privește contextul în care au fost colectate datele, trebuie constatat că nu există nicio legătură între operatorul de date și persoana vizată, deoarece colectarea datelor se realizează indirect, prin intermediul unor registre, iar persoana vizată nu cunoaște, prin urmare, faptul că datele sale pot fi utilizate ulterior, nici de către cine și nici în ce scop. Acest lucru ni se pare deosebit de grav din punctul de vedere al protecției datelor cu caracter personal, întrucât, în general, nimeni nu se poate în mod rezonabil aștepta ca datele sale cu caracter personal să fie prelucrate ulterior ( 40 ). Faptul că legea prescrie o anumită perioadă pentru stocarea datelor în registrele publice este de natură să dea naștere unei așteptări rezonabile ca datele în cauză să fie șterse după expirarea acestei perioade.

83.

În al treilea rând, în ceea ce privește posibilele consecințe pe care prelucrarea ulterioară a datelor le poate avea pentru persoanele vizate, trebuie subliniat că informațiile referitoare la procedurile de insolvență vor fi întotdeauna utilizate ca factor negativ cu ocazia unei evaluări viitoare a bonității și a capacității de plată a persoanei fizice vizate, ceea ce are un impact important asupra drepturilor acestei persoane. O imagine falsă a situației sale economice poate produce efecte negative asupra persoanei în cauză, complicând în mod semnificativ exercitarea libertăților sale și chiar stigmatizând‑o în societate. În măsura în care persoana vizată se poate confrunta cu un refuz de a beneficia de bunuri și servicii, aceasta poate fi victima unei discriminări nejustificate.

84.

Având în vedere aceste trei criterii care trebuie îndeplinite pentru ca utilizarea datelor cu caracter personal să fie conformă cu scopul inițial, astfel cum prevede articolul 6 alineatul (4) din RGPD, avem dubii că utilizarea ulterioară a acestor date poate fi conformă cu acest scop.

85.

În plus, trebuie arătat că, prin stabilirea unui termen maxim de șase luni în care situația de insolvență și hotărârea judecătorească privind liberarea de restul de datorie fac obiectul unei publicări în cazul în care sunt îndeplinite condițiile legale, legiuitorul național a luat deja în considerare realizarea interesului public și a făcut o evaluare comparativă a interesului creditorilor, pe de o parte, și a intereselor, precum și a drepturilor persoanelor insolvabile, pe de altă parte ( 41 ). Prelucrarea datelor cu caracter personal de către societăți private în cursul unei perioade de șase ori mai lungă decât cea prevăzută de Legea privind registrele publice pare excesivă și penalizează de facto persoana vizată, deși legea nu prevede în mod clar nicio astfel de măsură. Într‑adevăr, după cum am subliniat deja, liberarea de restul de datorie acordată este menită să permită beneficiarului să participe din nou la viața economică. Or, acest obiectiv ar fi zădărnicit dacă s‑ar permite unor societăți private care furnizează informații comerciale să păstreze datele cu caracter personal în bazele lor de date după ce acestea au fost șterse din registrul public ( 42 ). În lipsa probei contrare, există temerea că condițiile de acces la baza de date ar fi putut fi concepute cu intenția de a eluda legislația națională, adoptată de statul membru în scopul îndeplinirii obligațiilor care îi revin în temeiul dreptului Uniunii ( 43 ).

86.

De altfel, ar fi disproporționat să se „reutilizeze”, în cadrul unor evaluări viitoare, o situație trecută și deja clarificată pe plan juridic, cum este liberarea de restul de datorie, decât să se utilizeze factori actualizați la momentul analizei riscurilor pentru a asigura o evaluare mai exactă și mai obiectivă a situației economice a persoanei vizate. Într‑adevăr, se poate pune sub semnul întrebării valoarea unor informații privind situația economică a unei persoane care datează de mai mulți ani. Unele date cu caracter personal legate de o împrejurare legată de o anumită perioadă din trecut nu vor oferi niciun fel de informații fiabile cu privire la situația economică actuală a persoanei vizate. Legiuitorul german pare să fi recunoscut această problemă și să fi desprins concluziile corecte atunci când a optat pentru o perioadă de stocare a datelor considerabil mai scurtă.

87.

În sfârșit, considerăm că modul în care procedează societățile care furnizează informații comerciale contravine principiului reducerii la minimum a datelor consacrat la articolul 5 alineatul (1) litera (c) din RGPD, în temeiul căruia datele cu caracter personal trebuie să fie adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate. În această privință, se pune efectiv problema de a ști ce sens are punerea la dispoziție a datelor cu caracter personal care sunt deja disponibile public în registrele înființate de statele membre. O astfel de activitate este, în opinia noastră, mai degrabă susceptibilă să conducă la diseminarea de informații sensibile care nu este neapărat necesară pentru a răspunde intereselor comerciale ale operatorilor economici ( 44 ).

88.

Pentru motivele menționate anterior, considerăm că stocarea acestor date de către o societate privată care furnizează informații comerciale nu constituie o practică conformă cu principiile limitărilor legate de scop și reducerii la minimum a datelor, consacrate la literele (b) și, respectiv, (c) ale articolului 5 alineatul (1) din RGPD.

89.

Analiza de mai sus ne determină să concluzionăm că practica societăților care furnizează informații comerciale constând în stocarea de date cu caracter personal provenite din registre publice pentru o perioadă de trei ani nu este conformă cu principiile care guvernează prelucrarea datelor cu caracter personal consacrate în RGPD. Trebuie precizat însă că această concluzie se bazează pe o apreciere a situației de fapt care, în cele din urmă, este de competența instanței de trimitere sesizată cu soluționarea litigiului.

90.

Instanța de trimitere solicită de asemenea să se stabilească dacă „dreptul de a fi uitat”, consacrat la articolul 17 din RGPD, implică ștergerea datelor cu caracter personal din bazele de date ale unei societăți private care furnizează informații comerciale care există în paralel cu registrele publice și care conține aceleași date. Instanța de trimitere face o distincție între perioada în care datele cu caracter personal sunt disponibile și în registrul public și perioada în care aceste date nu mai sunt disponibile în registrul respectiv.

91.

Articolul 17 alineatul (1) litera (d) din RGPD prevede dreptul absolut al persoanei vizate de a obține ștergerea datelor sale cu caracter personal în cazul în care acestea au fost prelucrate ilegal ( 45 ). În consecință, în cazul în care, având în vedere concluzia la care am ajuns în cadrul analizei noastre ( 46 ), instanța de trimitere ar trebui să constate că SCHUFA nu a putut prelucra în mod legal datele cu caracter personal ale reclamanților, în temeiul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD, o astfel de prelucrare ar fi ilegală în cazul în care nu ar fi aplicabil niciun alt motiv menționat la articolul 6 alineatul (1) din RGPD. Într‑un astfel de caz, SCHUFA ar fi obligată să șteargă datele cu caracter personal ale reclamanților, iar aceștia din urmă ar dispune de un drept în acest sens, indiferent dacă au solicitat ștergerea datelor în perioada anterioară sau ulterioară ștergerii acestora din registrul public. Un astfel de rezultat pare de asemenea conform cu cerințele articolului 5 alineatul (1) litera (e) din RGPD, care prevede că datele cu caracter personal sunt „păstrate într‑o formă care permite identificarea persoanelor vizate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor în care sunt prelucrate datele” (sublinierea noastră).

92.

În această privință, dorim să atragem atenția asupra articolului 79 alineatul (5) din Regulamentul 2015/848, care evidențiază importanța acordată de legiuitorul Uniunii dreptului la ștergerea datelor, în special atunci când autoritățile prelucrează date cu caracter personal de o sensibilitate deosebită, cum ar fi cele legate de solvabilitatea persoanelor vizate. Potrivit acestei dispoziții, „[c]a parte a informațiilor care ar trebui furnizate persoanelor vizate astfel încât să li se permită să își exercite drepturile, în special dreptul la ștergerea datelor, statele membre informează persoanele vizate în legătură cu perioada de accesibilitate stabilită pentru datele cu caracter personal stocate în registrele de insolvență” (sublinierea noastră). Legiuitorul Uniunii a recunoscut, în mod evident, necesitatea de a șterge acest tip de date atunci când stocarea lor nu se mai justifică.

93.

Chiar dacă cererile de decizie preliminară privesc numai interpretarea articolului 17 alineatul (1) litera (d) din RGPD, considerăm că litera (c) a alineatului (1) se poate dovedi de asemenea relevantă pentru hotărârea ce urmează a fi pronunțată în prezentele cauze, și anume în cazul în care instanța de trimitere ar considera, contrar concluziei la care am ajuns pe baza informațiilor disponibile, că SCHUFA a putut prelucra în mod legal datele cu caracter personal ale reclamanților în conformitate cu articolul 6 alineatul (1) primul paragraf litera (f) din RGPD. Această dispoziție prevede dreptul la ștergerea datelor cu caracter personal în cazul în care persoana vizată se opune prelucrării în temeiul articolului 21 alineatul (1) din RGPD și nu există motive legitime și imperioase care justifică prelucrarea. Această formulare implică faptul că orice „motive legitime și imperioase care justifică prelucrarea” constituie o excepție de la dreptul persoanei vizate de a se opune prelucrării și de a obține ștergerea datelor sale cu caracter personal. În consecință, se prezumă că persoana vizată dispune de dreptul de a se opune prelucrării și de dreptul la ștergerea datelor, cu excepția cazului în care există motive legitime și imperioase ( 47 ).

94.

Considerăm că, pentru o protecție efectivă a datelor cu caracter personal, nu ar trebui să existe obstacole semnificative în calea exercitării dreptului la ștergerea datelor, în special atunci când pe piață există mai multe societăți care furnizează informații comerciale care stochează date în paralel cu registrul public. În cazul în care exercitarea acestui drept ar fi îngreunată în mod excesiv ca urmare a unei interpretări stricte a articolului 17 alineatul (1) din RGPD, există riscul ca protecția pe care RGPD urmărește să o ofere să fie eludată de concurenți. Or, trebuie reamintit că obiectivul legiuitorului Uniunii a fost acela ca „[a]plicarea consecventă și omogenă a normelor în materie de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal […] să fie asigurată în întreaga Uniune” (sublinierea noastră), după cum rezultă din considerentul (10) al RGPD. În consecință, persoana vizată trebuie să își poată exercita drepturile împotriva tuturor societăților care încalcă aceste norme. Având în vedere că SCHUFA este numai una dintre numeroasele societăți mari care furnizează informații comerciale în Germania, va fi necesar să se stabilească dacă stocarea datelor cu caracter personal în paralel cu registrul public constituie o practică răspândită în rândul acestor societăți.

95.

Prin urmare, trebuie reținut în această etapă a analizei că reclamanții pot, în principiu, să se prevaleze de un drept la ștergerea datelor în temeiul articolului 17 alineatul (1) din RGPD. Rezultatul ar fi diferit numai în cazul în care o societate privată care furnizează informații comerciale a reușit să „demonstre[ze] că are motive legitime și imperioase care justifică prelucrarea și care prevalează asupra intereselor, drepturilor și libertăților persoanei vizate”, în sensul articolului 21 alineatul (1) din RGPD. Întrucât informațiile disponibile nu permit discernerea motivelor imperioase care ar putea apărea în litigiul principal, revine instanței de trimitere sarcina de a stabili situația de fapt și de a efectua, dacă este cazul, o evaluare comparativă a intereselor aflate în joc.

96.

Având în vedere considerațiile menționate anterior, articolul 17 alineatul (1) litera (d) din RGPD trebuie interpretat în sensul că persoana vizată are dreptul de a obține din partea operatorului ștergerea datelor cu caracter personal care o privesc, fără întârzieri nejustificate, în cazul în care aceste date au făcut obiectul unei prelucrări ilegale potrivit articolului 6 alineatul (1) din acest regulament. Articolul 17 alineatul (1) litera (c) din regulament trebuie interpretat în sensul că persoana vizată are, în principiu, dreptul de a obține din partea operatorului ștergerea datelor cu caracter personal care o privesc, fără întârzieri nejustificate, în cazul în care se opune prelucrării în conformitate cu articolul 21 alineatul (1) din regulamentul menționat. Revine instanței de trimitere sarcina de a examina dacă există, în mod excepțional, motive legitime și imperioase pentru prelucrare.

97.

Instanța de trimitere solicită de asemenea să se stabilească dacă este conform cu dreptul Uniunii ca, într‑un cod de conduită în sensul articolului 40 din RGPD, să se prevadă termene de examinare și de ștergere care depășesc perioadele de stocare prevăzute pentru registrele publice, fără a fi necesară efectuarea evaluării comparative prevăzute la articolul 6 alineatul (1) primul paragraf litera (f) din acest regulament.

98.

În această privință, trebuie observat de la bun început că, potrivit instanței de trimitere, în prezent nu există nicio reglementare națională care să stabilească termene de ștergere pentru bazele de date deținute de societățile care furnizează informații comerciale. Cu toate acestea, s‑ar părea că părțile interesate consideră codul de conduită adoptat în comun de autoritățile de supraveghere și de asociația ce regrupează societățile care furnizează informații comerciale ca fiind un fel de „temei juridic” de natură să legitimeze practica descrisă mai sus. Considerăm că o astfel de concepție este criticabilă în drept pentru motivele prezentate în continuare.

99.

Din punct de vedere juridic, un astfel de cod de conduită nu reprezintă decât un angajament voluntar al celor care l‑au elaborat și adoptat, și anume al asociației menționate mai sus și al membrilor săi. În mod similar, faptul că acest cod de conduită a fost aprobat de o autoritate de supraveghere înseamnă doar că aceasta din urmă, în calitate de autoritate administrativă, se consideră obligată să respecte codul de conduită respectiv. Cu toate acestea, este evident, în opinia noastră, că acesta nu are forță obligatorie în raport cu terții conform principiului juridic „pacta tertiis nec nocent nec prosunt”. În caz contrar, ar fi afectate nu doar persoanele fizice ale căror date sunt prelucrate, ci și birourile care nu au participat la elaborarea unui astfel de cod de conduită.

100.

Prin definiție, un cod de conduită nu are valoare normativă în cadrul unei ordini juridice, ci urmărește mai degrabă să specifice dispozițiile unui act normativ pentru a facilita aplicarea lui. Această interpretare este susținută de articolul 40 alineatele (1) și (2) din RGPD, din care rezultă că codurile de conduită care urmează să fie elaborate de asociații și alte organisme care reprezintă categorii de operatori sau de persoane împuternicite de operatori sunt menite, pe de o parte, „să contribuie la buna aplicare” și, pe de altă parte, să „specific[e] modul de aplicare” a acestui regulament (sublinierea noastră). În consecință, în măsura în care funcția codului de conduită în cauză este limitată la asigurarea bunei aplicări a RGPD într‑un anumit sector, acesta nu poate constitui în sine temeiul juridic care să justifice o prelucrare a datelor cu caracter personal ( 48 ).

101.

Temeiul juridic care justifică o astfel de prelucrare poate fi găsit numai la articolul 6 din RGPD sau, dacă există o clauză de deschidere aplicabilă, în dreptul național. Am precizat deja în prezentele concluzii că articolul 6 din RGPD prevede o listă exhaustivă și limitativă de cazuri în care o prelucrare a datelor cu caracter personal poate fi considerată legală ( 49 ). În consecință, normele din codul de conduită nu ar putea avea ca efect extinderea acestei liste fără a încălca, în același timp, dreptul Uniunii.

102.

Or, considerăm că tocmai aceasta este situația atunci când, precum în speță, aceste norme impun societăților care furnizează informații comerciale obligația de a stoca datele persoanelor vizate pentru o perioadă de trei ani, adică pentru o perioadă extinsă care nu poate fi justificată în raport cu principiile care guvernează prelucrarea datelor cu caracter personal consacrate în RGPD. Mai exact, după cum am arătat în cadrul analizei noastre, stocarea acestor date nu poate fi considerată legală în temeiul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD pentru perioada ulterioară ștergerii din registrele publice a datelor cu caracter personal referitoare la o insolvență ( 50 ).

103.

Prin urmare, trebui reținut în acest stadiu al analizei că codurile de conduită care ar conduce la un rezultat diferit de cel care ar fi fost obținut în conformitate cu articolul 6 alineatul (1) primul paragraf litera (f) din RGPD nu ar putea fi luate în considerare în cadrul evaluării comparative efectuate în temeiul acestei dispoziții. În calitate de „operator[i]” în sensul articolului 4 alineatul (7) din RGPD, societățile care furnizează informații comerciale nu se pot ascunde în spatele normelor din codul de conduită elaborat chiar de ele pentru a se sustrage în mod valabil de la obligațiile care decurg în privința lor din acest regulament.

104.

În lumina considerațiilor care precedă, considerăm că articolul 40 alineatele (2) și (5) din RGPD trebuie interpretat în sensul că codurile de conduită elaborate în conformitate cu aceste dispoziții și aprobate eventual de autoritatea de supraveghere nu pot stabili în mod obligatoriu din punct de vedere juridic condițiile unei prelucrări legale a datelor cu caracter personal care diferă de cele definite la articolul 6 alineatul (1) din RGPD.

105.

Având în vedere considerațiile menționate anterior, propunem Curții să răspundă la întrebările preliminare adresate de Verwaltungsgericht Wiesbaden (Tribunalul Administrativ din Wiesbaden, Germania) după cum urmează: