Spojené veci C‑26/22 a C‑64/22

UF
a
AB

proti

Land Hessen

(návrh na začatie prejudiciálneho konania, ktorý podal Verwaltungsgericht Wiesbaden)

Rozsudok Súdneho dvora (prvá komora) zo 7. decembra 2023

„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 5 ods. 1 písm. a) – Zásada ‚zákonnosti‘ – Článok 6 ods. 1 prvý pododsek písm. f) – Nevyhnutnosť spracúvania na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana – Článok 17 ods. 1 písm. d) – Právo na vymazanie v prípade nezákonného spracúvania osobných údajov – Článok 40 – Kódexy správania – Článok 78 ods. 1 – Právo na účinný súdny prostriedok nápravy voči dozornému orgánu – Rozhodnutie o sťažnosti prijaté dozorným orgánom – Rozsah súdneho preskúmania tohto rozhodnutia – Spoločnosti poskytujúce ekonomické informácie – Uchovávanie údajov pochádzajúcich z verejného registra týkajúcich sa odpustenia zostatku dlhu v prospech konkrétnej osoby – Doba uchovávania“

  1. Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Opravné prostriedky – Súdny prostriedok nápravy proti rozhodnutiu o sťažnosti prijatému dozorným orgánom – Súdne preskúmanie – Rozsah – Limity – Neexistencia

    (Charta základných práv Európskej únie, článok 8 ods. 3 a článok 47; nariadenie Európskeho parlamentu a Rady 2016/679, odôvodnenia 141 a 143 a článok 52, článok 78 ods. 1 a článok 79 ods. 1)

    (pozri body 50 – 53, 58, 59, 62, 67 – 70, bod 1 výroku)

  2. Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Podmienky zákonnosti spracúvania osobných údajov – Spracúvanie nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana – Spracúvanie potrebné na činnosť súkromnej spoločnosti spočívajúcej v poskytovaní obchodných informácií jej zmluvným partnerom na účely posúdenia úverovej bonity jej potenciálnych klientov – Systematické uchovávanie údajov pochádzajúcich z verejného registra týkajúcich sa odpustenia zostatku dlhu v prospech konkrétnej osoby – Doba uchovávania presahujúca lehotu na uchovávanie údajov vo verejnom insolvenčnom registri – Neprípustnosť

    [Charta základných práv Európskej únie, články 7 a 8; nariadenie Európskeho parlamentu a Rady 2015/848, odôvodnenie 76, článok 79 ods. 4 a 5, a nariadenie Európskeho parlamentu a Rady 2016/679, článok 5 ods. 1 písm. a) a článok 6 ods. 1 prvý pododsek písm. f)]

    (pozri body 75, 83, 88 – 100, 113, bod 2 výroku)

  3. Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Podmienky zákonnosti spracúvania osobných údajov – Kódex správania vypracovaný združením zastupujúcim prevádzkovateľov alebo sprostredkovateľov a schválený príslušným dozorným orgánom – Kódex ukladajúci podmienky zákonnosti spracúvania, ktoré nezodpovedajú podmienkam stanoveným v nariadení 2016/679 – Nezohľadnenie

    [Nariadenie Európskeho parlamentu a Rady 2016/679, článok 6 ods. 1 prvý pododsek písm. f) a článok 40 ods. 1, 2 a 5]

    (pozri body 101 – 105)

  4. Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Právo na vymazanie – Rozsah – Nezákonné spracovávanie osobných údajov – Zahrnutie

    [Nariadenie Európskeho parlamentu a Rady 2016/679, článok 17 ods. 1 písm. d)]

    (pozri body 107, 108, 113, bod 4 výroku)

  5. Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Právo na vymazanie – Rozsah – Právo namietať, ktoré má osoba dotknutá spracúvaním – Zahrnutie – Výnimka – Existencia nevyhnutných oprávnených dôvodov na spracúvanie, ktoré prevažujú nad záujmami, právami a slobodami tejto osoby – Dôkazné bremeno, ktoré znáša prevádzkovateľ

    [Nariadenie Európskeho parlamentu a Rady 2016/679, článok 17 ods. 1 písm. c) a článok 21 ods. 1]

    (pozri body 109 – 113, bod 3 výroku)

Zhrnutie

Schufa Holding AG, súkromná spoločnosť založená podľa nemeckého práva, zaznamenáva a uchováva vo svojich vlastných databázach informácie pochádzajúce z verejných registrov, najmä informácie týkajúce sa odpustenia zostatku dlhu, ktoré prípadne poskytne svojim zmluvným partnerom. Tieto informácie vymazáva po uplynutí troch rokov od ich zaznamenania v súlade s kódexom správania vypracovaným v Nemecku združením spoločností poskytujúcich ekonomické informácie.

Po tom, čo UF a AB dostali rozhodnutia o predčasnom odpustení zostatku dlhu v insolvenčnom konaní, požiadali SCHUFA o vymazanie zápisov týkajúcich sa týchto rozhodnutí. Táto spoločnosť odmietla vyhovieť ich žiadostiam, pričom vysvetlila, že šesťmesačná lehota na výmaz týchto údajov z verejného registra stanovená nemeckými právnymi predpismi ( 1 ) sa na ňu neuplatňuje.

UF a AB podali sťažnosť proti spoločnosti SCHUFA na HBDI ( 2 ), príslušný dozorný orgán, ktorú tento orgán zamietol z dôvodu, že spracovanie údajov vykonané spoločnosťou SCHUFA bolo zákonné.

Verwaltungsgericht Wiesbaden (Správny súd Wiesbaden, Nemecko), na ktorý UF a AB podali žaloby proti rozhodnutiam HBDI, položil Súdnemu dvoru otázku týkajúcu sa výkladu viacerých ustanovení GDPR ( 3 ), ktoré sa týkajú najmä nevyhnutnosti spracúvania údajov na účely sledovaných záujmov, ako aj práva na vymazanie. ( 4 )

Súdny dvor vo svojom rozsudku konštatoval, že GDPR ( 5 ) bráni praxi súkromných spoločností poskytujúcich ekonomické informácie, spočívajúcej v uchovávaní informácií pochádzajúcich z verejného registra o odpustení zostatku dlhu v prospech fyzických osôb v ich vlastných databázach počas dlhšieho obdobia, než je obdobie stanovené vnútroštátnou právnou úpravou na uchovávanie týchto údajov v takomto registri. Rozhodol aj o práve dotknutej osoby dosiahnuť od tejto spoločnosti vymazanie údajov, ktoré sa jej týkajú.

Posúdenie Súdnym dvorom

V prvom rade Súdny dvor pripomenul, že podľa GDPR možno spracúvanie osobných údajov považovať za zákonné najmä vtedy, ak sú splnené tri kumulatívne podmienky, a to po prvé sledovanie oprávneného záujmu prevádzkovateľom alebo treťou stranou, po druhé nevyhnutnosť spracúvania osobných údajov na dosiahnutie sledovaného oprávneného záujmu a po tretie podmienku, že záujmy alebo základné práva a slobody osoby, na ktorú sa vzťahuje ochrana údajov, neprevažujú nad oprávneným záujmom prevádzkovateľa alebo tretej strany. ( 6 )

Pokiaľ ide o prvú podmienku, Súdny dvor zdôraznil, že hoci v prejednávanej veci spracovanie osobných údajov slúži hospodárskym záujmom súkromnej spoločnosti, slúži tiež na sledovanie oprávnených záujmov zmluvných partnerov tejto spoločnosti, ktorí sú povinní posúdiť úverovú bonitu osôb, s ktorými zamýšľajú uzavrieť zmluvy súvisiace s úverom, a teda záujmy úverového sektora na sociálno‑ekonomickej úrovni.

Pokiaľ ide o druhú podmienku, Súdny dvor pripomenul, že spracúvanie údajov možno považovať za „nevyhnutné“ len vtedy, ak sa vykonáva v medziach toho, čo je striktne nevyhnutné na splnenie legitímneho záujmu sledovaného prevádzkovateľom alebo treťou osobou.

Pokiaľ ide o tretiu podmienku, Súdny dvor konštatoval, že v prejednávanej veci jej preskúmanie splýva s preskúmaním druhej podmienky a vyžaduje si zváženie protichodných práv a záujmov na účely posúdenia, či sledované oprávnené záujmy nemožno rozumne dosiahnuť kratšou dobou uchovávania údajov.

V súvislosti so zvážením sledovaných oprávnených záujmov, Súdny dvor uviedol, že vzhľadom na to, že analýza predložená spoločnosťou poskytujúcou ekonomické informácie umožňuje objektívne a spoľahlivé posúdenie úverovej bonity potenciálnych klientov zmluvných partnerov tejto spoločnosti, dovoľuje kompenzovať informačné rozdiely, a teda znížiť riziko podvodu, ako aj iných neistôt.

Naopak, pokiaľ ide o práva a záujmy dotknutej osoby, Súdny dvor konštatoval, že spracúvanie údajov týkajúcich sa odpustenia zostatku dlhu touto spoločnosťou, ako je uchovávanie, analýza a oznámenie týchto údajov tretej osobe, predstavuje závažný zásah do základných práv dotknutej osoby. ( 7 ) Takéto údaje totiž slúžia ako negatívny faktor pri posudzovaní úverovej bonity tejto poslednej uvedenej osoby, a teda predstavujú citlivé informácie o jej súkromnom živote, ktorých spracovanie môže značne poškodiť jej záujmy. Okrem toho, čím dlhšia je doba uchovávania takýchto údajov, tým väčšie sú dôsledky na záujmy a súkromný život dotknutej osoby a tým vyššie sú požiadavky na zákonnosť uchovávania týchto informácií.

Okrem toho, pokiaľ ide o uchovávanie údajov vo verejných insolvenčných registroch, Súdny dvor uviedol, že členské štáty sú zodpovedné za zhromažďovanie a uchovávanie údajov v národných databázach ( 8 ), a preto musia tiež stanoviť lehotu na uchovávanie týchto údajov. Vnútroštátny zákonodarca sa v prejednávanej veci domnieval, že po uplynutí lehoty šiestich mesiacov majú práva a záujmy dotknutej osoby prednosť pred právami verejnosti disponovať touto informáciou.

Okrem toho odpustenie zostatku dlhu umožňuje príjemcovi, aby sa opäť zúčastňoval na ekonomickom život, a je pre túto osobu v zásade existenčné. Dosiahnutie tohto cieľa by však bolo ohrozené, ak by informácie, ktoré sa jej týkajú, mohli byť uchovávané a použité po ich výmaze z verejného insolvenčného registra.

Súdny dvor preto dospel k záveru, že záujmy úverového sektora disponovať informáciami o odpustení zostatku dlhu nemôžu odôvodniť uchovávanie údajov po uplynutí doby uchovávania vo verejnom insolvenčnom registri.

Súdny dvor dodal, že aj uchovávanie údajov počas obdobia šiestich mesiacov predstavuje zásah do základných práv dotknutej osoby. V tejto súvislosti prináleží vnútroštátnemu súdu, aby posúdil, či súbežné uchovávanie týchto údajov súkromnými spoločnosťami možno považovať za obmedzené na to najnevyhnutnejšie.

Napokon, pokiaľ ide o existenciu kódexu správania stanovujúceho odstránenie údajov po uplynutí lehoty troch rokov, Súdny dvor poznamenal, že hoci je takýto kódex určený na to, aby prispel k správnemu uplatňovaniu GDPR ( 9 ), nič to nemení na tom, že podmienky zákonnosti spracúvania osobných údajov, ktoré stanovuje, sa nemôžu líšiť od podmienok stanovených v GDPR. Kódex správania, ktorý vedie k odlišnému posúdeniu, než aké bolo získané na základe GDPR, teda nemožno zohľadniť.

V druhom rade, pokiaľ ide o povinnosti prevádzkovateľa vymazať osobné údaje, Súdny dvor poznamenal, že na jednej strane musí tento prevádzkovateľ pristúpiť k výmazu údajov, ktoré boli predmetom nezákonného spracúvania, akým je v prejednávanej veci spracúvanie údajov dotknutou spoločnosťou po uplynutí šesťmesačnej doby uchovávania údajov vo verejnom insolvenčnom registri. ( 10 ) Na druhej strane, aj keby vnútroštátny súd mal dospieť k záveru, že spracúvanie údajov počas obdobia šiestich mesiacov bolo zákonné, dotknutá osoba by mala právo namietať proti takémuto spracúvaniu ( 11 ) a dosiahnuť výmaz údajov, ktoré sa jej týkajú, ak táto spoločnosť nepreukázala existenciu nevyhnutných oprávnených dôvodov, ktoré prevažujú nad záujmami, ako aj právami a slobodami tejto osoby. ( 12 )

( 1 ) Ustanovenie § 3 ods. 1 Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (nariadenie o verejných oznámeniach v insolvenčných konaniach na internete) z 12. februára 2002 (BGBl. I, s. 677).

( 2 ) Hessischer Beauftragter für Datenschutz und Informationsfreiheit (splnomocnenec Spolkovej krajiny Hessensko pre ochranu údajov a slobodu informácií, Nemecko).

( 3 ) Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1; ďalej len „GDPR“).

( 4 ) Článok 6 ods. 1 prvý pododsek písm. f) a článok 17 ods. 1 písm. c) a d) tohto nariadenia.

( 5 ) Článok 5 ods. 1 písm. a) v spojení s článkom 6 ods. 1 prvým pododsekom písm. f) GDPR.

( 6 ) Podľa článku 6 ods. 1 prvého pododseku] písm. f) GDPR uplatniteľného v prejednávanej veci.

( 7 ) Práva zakotvené v článkoch 7 a 8 Charty základných práv Európskej únie, ktoré sa týkajú rešpektovania súkromného života a ochrany osobných údajov.

( 8 ) Podľa článku 79 ods. 4 nariadenia Európskeho parlamentu a Rady (EÚ) 2015/848 z 20. mája 2015 o insolvenčnom konaní (prepracované znenie) (Ú. v. EÚ L 141, 2015, s. 19). Článok 79 ods. 5 tohto nariadenia sa obmedzuje na stanovenie toho, že členské štáty informujú osoby, ktorých sa údaje týkajú, o období prístupnosti stanovenom pre osobné údaje uložené v insolvenčných registroch bez toho, aby určili lehotu na uchovávanie týchto údajov.

( 9 ) Podľa článku 40 ods. 1 a 2 GDPR.

( 10 ) V súlade s článkom 17 ods. 1 písm. a) GDPR.

( 11 ) Podľa článku 21 ods. 1 GDPR.

( 12 ) Na základe článku 17 ods. 1 písm. c) GDPR.