1.

Ta predloga za sprejetje predhodne odločbe, ki ju je Verwaltungsgericht Wiesbaden (upravno sodišče v Wiesbadnu, Nemčija) vložilo na podlagi člena 267 PDEU, se nanašata na razlago členov 7 in 8 Listine Evropske unije o temeljnih pravicah (v nadaljevanju: Listina) ter člena 6(1), prvi pododstavek, točka (f), člena 17(1)(d), člena 40, člena 77(1) in člena 78(1) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) ( 2 ) (v nadaljevanju: SUVP).

2.

Predloga sta bila vložena v okviru dveh sporov, in sicer med, prvi, UF (zadeva C‑26/22) oziroma, drugi, AB (zadeva C‑64/22) in Land Hessen (zvezna dežela Hessen, Nemčija), ki jo zastopa Hessischer Beauftragter für Datenschutz und Informationsfreiheit (pooblaščenec zvezne dežele Hessen za varstvo podatkov in svobodo obveščanja, v nadaljevanju: HBDI), glede zahtevkov, ki sta jih UF in AB vložila pri HBDI in s katerima mu predlagata, naj ukrepa za izbris vpisa odpisa dolga pri družbi SCHUFA Holding AG (v nadaljevanju: družba SCHUFA).

3.

V obeh zadevah se postavljajo različna nova pravna vprašanja, ki se med drugim nanašajo na pravno naravo odločbe nadzornega organa, pri katerem je vložena pritožba, in obseg sodnega nadzora, ki ga lahko sodišče opravi v okviru tožbe, vložene zoper tako odločbo. Zadevi se nanašata tudi na vprašanje zakonitosti hrambe osebnih podatkov iz javnih registrov pri agencijah za kreditne informacije.

4.

Člen 79(4) in (5) Uredbe (EU) 2015/848 Evropskega parlamenta in Sveta z dne 20. maja 2015 o postopkih v primeru insolventnosti ( 3 ) določa:

„4.   Države članice so v skladu z Direktivo [Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355)] odgovorne za zbiranje in shranjevanje podatkov v nacionalnih podatkovnih bazah in za odločitve, sprejete glede dostopnosti takšnih podatkov v medsebojno povezanem registru, do katerega se lahko dostopa prek evropskega portala e-pravosodje.

5.   Države članice v okviru obveščanja, ki bi ga morale zagotoviti posameznikom, na katere se nanašajo osebni podatki, da bi jim omogočile uveljavljanje njihovih pravic, zlasti pravice do izbrisa podatkov, osebe, na katere se nanašajo podatki, obvestijo o obdobju dostopnosti, določenem za osebne podatke, shranjene v registrih insolventnosti.“

5.

Člen 5(1) SUVP določa:

„Osebni podatki so:

[…]

[…]“

6.

Člen 6(1) te uredbe določa:

„Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

[…]

[…]“

7.

Člen 17(1) SUVP določa:

„Posameznik, na katerega se nanašajo osebni podatki, ima pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati, kadar velja eden od naslednjih razlogov:

[…]

[…]“

8.

Člen 21(1) te uredbe določa:

„Posameznik, na katerega se nanašajo osebni podatki, ima na podlagi razlogov, povezanih z njegovim posebnim položajem, pravico, da kadar koli ugovarja obdelavi osebnih podatkov v zvezi z njim, ki temelji na točki (e) ali (f) člena 6(1), vključno z oblikovanjem profilov na podlagi teh določb. Upravljavec preneha obdelovati osebne podatke, razen če dokaže nujne legitimne razloge za obdelavo, ki prevladajo nad interesi, pravicami in svoboščinami posameznika, na katerega se nanašajo osebni podatki, ali za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.“

9.

Člen 40 navedene uredbe določa:

„1.   Države članice, nadzorni organi, odbor in Komisija spodbujajo pripravljanje kodeksov ravnanja, katerih namen je prispevati k pravilni uporabi te uredbe, ob upoštevanju posebnih značilnosti različnih sektorjev za obdelavo ter posebnih potreb mikro, malih in srednjih podjetij.

2.   Združenja in druga telesa, ki predstavljajo vrste upravljavcev ali obdelovalcev, lahko pripravijo kodekse ravnanja oziroma takšne kodekse spremenijo ali razširijo z namenom podrobneje obrazložiti uporabo te uredbe, kot na primer glede:

[…]

5.   Združenja in druga telesa iz odstavka 2 tega člena, ki nameravajo pripraviti kodeks ravnanja oziroma spremeniti ali razširiti veljaven kodeks, predložijo osnutek kodeksa, spremembo ali razširitev nadzornemu organu, pristojnemu v skladu s členom 55. Nadzorni organ poda mnenje, ali je osnutek kodeksa, sprememba ali razširitev skladna s to uredbo, in takšen osnutek kodeksa, spremembo ali razširitev potrdi, če oceni, da zagotavlja zadostne ustrezne zaščitne ukrepe.

[…]“

10.

Člen 77(1) SUVP določa:

„Brez poseganja v katero koli drugo upravno ali pravno sredstvo ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico, da vloži pritožbo pri nadzornem organu, zlasti v državi članici, v kateri ima običajno prebivališče, v kateri je njegov kraj dela ali v kateri je domnevno prišlo do kršitve, če meni, da obdelava osebnih podatkov v zvezi z njim krši to uredbo.“

11.

Člen 78 te uredbe določa:

„1.   Brez poseganja v katero koli drugo upravno ali izvensodno sredstvo ima vsaka fizična ali pravna oseba pravico do učinkovitega pravnega sredstva zoper pravno zavezujočo odločitev nadzornega organa v zvezi z njo.

2.   Brez poseganja v katero koli drugo upravno ali izvensodno sredstvo ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico do učinkovitega pravnega sredstva, kadar nadzorni organ, ki je pristojen na podlagi členov 55 in 56, ne obravnava pritožbe ali če posameznika, na katerega se nanašajo osebni podatki, v treh mesecih ne obvesti o stanju zadeve ali odločitvi o pritožbi, vloženi na podlagi člena 77.

[…]“

12.

Člen 9 Insolvenzordnung (zakon o insolventnosti) v različici, ki je veljala v času dejanskega stanja v sporih o glavni stvari, v odstavku 1 določa:

„Podatki se centralno in nacionalno javno objavijo na internetu; objavijo se lahko le izvlečki. Pri tem je treba natančno navesti dolžnika, zlasti je treba navesti njegov naslov in njegovo poslovno dejavnost. Objava se šteje za opravljeno, takoj ko pretečeta še dva dneva od datuma objave.“

13.

Člen 3 Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (uredba o objavah na internetu v postopkih zaradi insolventnosti, v nadaljevanju: InsBekV) v odstavkih 1 in 2 določa:

„(1)   Objava podatkov iz postopka zaradi insolventnosti, vključno s podatki o začetku postopka, v elektronskem informacijskem in komunikacijskem sistemu se izbriše najpozneje šest mesecev po koncu oziroma po pravnomočnosti ustavitve postopka zaradi insolventnosti. Če se postopek ne začne, začne rok teči z razveljavitvijo objavljenih ukrepov zavarovanja.

(2)   Za objave v okviru postopka odpisa dolgov, vključno s sklepom iz člena 289 zakona o insolventnosti, se uporablja prvi stavek odstavka 1, pri čemer začne rok teči s pravnomočnostjo odločbe o odpisu dolgov.“

14.

UF in AB je bil v okviru njunih stečajnih postopkov s sodnima sklepoma, izdanima 17. decembra 2020 oziroma 23. marca 2021, odobren predčasen odpis dolga. V skladu s členom 9(1) zakona o insolventnosti ter členom 3(1) in (2) InsBekV je bila ta okoliščina javno objavljena na spletu, po šestih mesecih pa je bila ta objava izbrisana.

15.

Družba SCHUFA, zasebna agencija za kreditne informacije, shranjuje objavljene informacije v zvezi s predčasnimi odpisi dolga v svoje podatkovne baze, vendar jih izbriše šele tri leta po shranitvi.

16.

Potem ko sta UF in AB družbo SCHUFA pozvala k izbrisu vpisov, ki so se nanašali nanju, jima je ta družba odgovorila, da je njena dejavnost v skladu s SUVP in da se zanjo šestmesečni rok za izbris, ki je določen v členu 3(1) InsBekV, ne uporablja. UF in AB sta nato vložila pritožbi pri HBDI kot pristojnem nadzornem organu.

17.

HBDI je o teh pritožbah odločil z odločbama z dne 1. marca 2021 oziroma 9. julija 2021. Po njegovem mnenju družba SCHUFA lahko hrani negativne vpise o odpisih dolga še po obdobju odpisa terjatve.

18.

UF in AB sta zoper odločbi HBDI vložila tožbi pri Verwaltungsgericht Wiesbaden (upravno sodišče v Wiesbadnu), ki je predložitveno sodišče. S tem v zvezi trdita, da mora HBDI v okviru svojih nalog in pristojnosti sprejeti ukrepe zoper družbo SCHUFA, da se ji naloži izbris vpisov, ki se nanašajo nanju.

19.

V zvezi s tem predložitveno sodišče meni, prvič, da je treba pojasniti pravno naravo odločbe nadzornega organa o pritožbi, vloženi na podlagi člena 77(1) SUVP. To sodišče navaja, da je po mnenju HBDI pravica iz člena 77(1) zasnovana kot pravica do peticije. Tako naj bi v zvezi s tem veljal le omejen sodni nadzor, ki naj bi bil omejen na preverjanje, ali je nadzorni organ obravnaval pritožbo ter pritožnika obvestil o stanju pritožbe in odločitvi o njej. Sodišče pa naj ne bi smelo nadzirati vsebinske pravilnosti odločbe, izdane v zvezi s pritožbo.

20.

Vendar navedeno sodišče dvomi o skladnosti te analize s SUVP. Po njegovem mnenju naj bi se namreč s členom 78(1) te uredbe zahtevalo učinkovito pravno sredstvo. Ob upoštevanju cilja navedene uredbe, ki je zagotoviti učinkovito varstvo temeljnih pravic in svoboščin posameznikov v okviru izvajanja členov 7 in 8 Listine, obravnavanja pravice do pritožbe ni mogoče razlagati ozko. Predložitveno sodišče se zato nagiba k razlagi, v skladu s katero mora sodišče v celoti preizkusiti meritorno odločitev nadzornega organa, pri čemer pa je treba upoštevati, da ima ta organ polje proste presoje in pravico odločanja po prostem preudarku ter da mu je mogoče ukrepanje naložiti le, če ni drugih zakonitih alternativ.

21.

Drugič, predložitveno sodišče se sprašuje o zakonitosti hrambe podatkov iz javnih registrov pri agencijah za kreditne informacije. V zvezi s tem to sodišče pojasnjuje, da te agencije vse vpise iz javnih registrov, v obravnavanem primeru iz registra dolžnikov in registra insolventnosti, dobijo od države. Ti podatki naj bi bili po mnenju HBDI namenjeni bonitetni oceni in naj bi se lahko shranjevali tako dolgo, kot je to potrebno za namene, za katere se shranjujejo. Poleg tega naj bi nadzorni organi skupaj z združenjem agencij za kreditne informacije – ker nacionalni zakonodajalec tega ni uredil – sprejeli kodekse ravnanja, v katerih je določen izbris natanko tri leta po vpisu v bazo.

22.

Predložitveno sodišče meni, da se glede na člena 7 in 8 Listine postavlja vprašanje, ali se lahko vpisi v javnih registrih nespremenjeni prenesejo v zasebno vodene registre, ne da bi obstajal konkreten razlog za shranjevanje podatkov. To naj bi nazadnje vodilo do shranjevanja podatkov na zalogo, zlasti kadar so bili podatki v nacionalnem registru že izbrisani zaradi izteka roka hrambe. Poleg tega naj bi bila družba SCHUFA le ena od več agencij za kreditne informacije, tako da naj bi bili podatki v Nemčiji shranjeni večkrat, kar naj bi pomenilo velik poseg v temeljno pravico iz člena 7 Listine.

23.

Predložitveno sodišče dodatno navaja, da je obdelava in s tem shranjevanje podatkov dovoljeno le, če je izpolnjen eden od pogojev iz člena 6(1) SUVP, pri čemer je v obravnavanem primeru upošteven samo člen 6(1), prvi pododstavek, točka (f), te uredbe. Vendar naj bi bilo to, da ima upravljavec, kot je družba SCHUFA, zakoniti interes v smislu te določbe, vprašljivo. Agencija za kreditne informacije naj bi v primeru zakonitega interesa vsekakor še vedno lahko dostopala do javnih registrov, dokler se podatki hranijo v njih.

24.

Poleg tega naj bi nemški zakonodajalec v členu 3 InsBekV določil le razmeroma kratko obdobje hrambe, in sicer šest mesecev od vpisa odpisa dolga v registru insolventnosti. Ta ureditev naj bi temeljila na členu 79(5) Uredbe 2015/848, v skladu s katerim države članice osebe, na katere se nanašajo podatki, obvestijo o obdobju dostopnosti, določenem za osebne podatke, shranjene v registrih insolventnosti, da bi jim omogočile uveljavljanje njihovih pravic, zlasti pravice do izbrisa podatkov. Ta pravica pa naj ne bi več obstajala v primeru hrambe v številnih zasebnih registrih, v katerih naj bi se podatki nato hranili dlje časa.

25.

Sicer pa tudi če bi priznali, da je shranjevanje podatkov iz javnih registrov pri zasebnih agencijah za kreditne informacije zakonito, bi se lahko vprašali, ali je treba kodekse ravnanja, odobrene v skladu s členom 40 SUVP, v katerih je določen triletni rok za izbris vpisa v zvezi z odpisom dolga, upoštevati pri tehtanju, ki je potrebno pri presoji na podlagi člena 6(1), prvi pododstavek, točka (f), SUVP.

26.

V teh okoliščinah je Verwaltungsgericht Wiesbaden (upravno sodišče v Wiesbadnu) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ta vprašanja:

27.

Predložitvena odločba v zadevi C‑26/22 z dne 23. decembra 2021 je v sodno tajništvo Sodišča prispela 11. januarja 2022. Predložitvena odločba v zadevi C‑64/22 z dne 31. januarja 2022 je v sodno tajništvo Sodišča prispela 2. februarja 2022.

28.

S sklepom Sodišča z dne 11. februarja 2022 sta bili zadevi združeni za pisni in ustni postopek ter izdajo sodbe.

29.

Stranke v postopku v glavni stvari, družba SCHUFA, nemška in portugalska vlada ter Evropska komisija so pisna stališča predložile v roku, določenem v členu 23 Statuta Sodišča Evropske unije.

30.

Zastopniki ad litem strank iz postopka v glavni stvari in družbe SCHUFA ter agenti Komisije so na obravnavi 26. januarja 2023 ustno predstavili stališča.

31.

Medsebojno zaupanje je osnova vsakega pogodbenega razmerja v tržnem gospodarstvu, zato je s podjetniškega vidika načeloma razumljivo, da želijo ponudniki storitev in blaga poznati svoje kupce in tveganja, ki so povezana s takim pogodbenim razmerjem. Agencije za kreditne informacije lahko prispevajo k vzpostavitvi tega medsebojnega zaupanja s statističnimi metodami, ki podjetjem omogočajo, da ugotovijo, ali so v obravnavanem primeru izpolnjena nekatera upoštevna merila, vključno s plačilno sposobnostjo njihovih kupcev. Tako podjetjem pomagajo, da ravnajo v skladu z različnimi določbami prava Unije, s katerim jim je za nekatere kategorije pogodb, med drugim posojilne, naložena ravno taka obveznost. ( 4 ) Te agencije pa niso edine, ki ponujajo take storitve. Zakonodajalec Unije se zaveda potrebe po zagotavljanju določene preglednosti in predvidljivosti finančnih transakcij, zato od držav članic zahteva, da ustvarijo in vzdržujejo enega ali več registrov, v katerih so objavljene informacije v zvezi s postopki v primeru insolventnosti.

32.

Zato vzporedno obstaja več podatkovnih baz, in sicer, „uradni“ registri, ki jih upravljajo javni organi, na eni strani, in podatkovne baze, ki jih vodijo zasebne agencije, na drugi strani. Zaradi te vzporednosti lahko pride do konkurence med sistemi in celo do nastanka pravnih nasprotij, če se pravne ureditve, ki veljajo za te registre, občutno razlikujejo. Razlike v ureditvi lahko postanejo posebej problematične, če vplivajo na varstvo podatkov, saj mora subjekt, bodisi javni bodisi zasebni, ki upravlja register, pri načinu upravljanja in shranjevanja osebnih podatkov spoštovati interes posameznikov, na katere se ti podatki nanašajo. Informacije o ekonomskem položaju posameznika so namreč občutljive z vidika spoštovanja pravice do varstva osebnih podatkov in zasebnosti, zato je potrebna posebna pazljivost.

33.

S SUVP, ki se uporablja od 25. maja 2018, je bil vzpostavljen pravni okvir, namenjen temu, da se v celotni Uniji upoštevajo zgoraj navedeni interesi, pri čemer so bile zlasti določene nekatere omejitve v zvezi z obdelavo osebnih podatkov. Tako je v členu 6(1), prvi pododstavek, točka (f), SUVP zahtevano, da je obdelava potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov. Povedano drugače, zakonitost obdelave mora biti ugotovljena s tehtanjem različnih zadevnih interesov, pri čemer morajo prevladati zakoniti interesi upravljavca ali tretje osebe. Ali so ti pogoji izpolnjeni, mora preveriti nadzorni organ, ki mora v skladu s členom 77(1) SUVP obravnavati vsako morebitno pritožbo posameznika, na katerega se nanašajo osebni podatki, v zvezi s kršitvijo njegovih temeljnih pravic. Nazadnje, če bi se tak posameznik odločil vložiti tožbo zoper odločbe nadzornega organa v skladu s členom 78(1) SUVP, bi morala nacionalna sodišča zagotoviti učinkovit sodni nadzor.

34.

V predhodnih točkah teh sklepnih predlogov so na kratko povzeta različna pravna vprašanja, ki jih je v svojih predlogih za sprejetje predhodne odločbe postavilo predložitveno sodišče. Prvo vprašanje se nanaša na pravno naravo odločbe nadzornega organa, pri katerem je vložena pritožba, in obseg sodnega nadzora, ki ga lahko opravi sodišče v okviru tožbe, vložene zoper tako odločbo. Drugo, tretje, četrto in peto vprašanje se v bistvu nanašajo na zakonitost hrambe osebnih podatkov iz javnih registrov pri agencijah za kreditne informacije. Vprašanja za predhodno odločanje bom v nadaljevanju preučil v vrstnem redu, v katerem jih je postavilo predložitveno sodišče.

35.

Ker se prvo vprašanje nanaša na obe stopnji upravnega varstva, in sicer na pritožbo pri nadzornem organu in pravno sredstvo pri sodnem organu, ki sta urejeni s členoma 77 in 78 SUVP, menim, da je primerno na kratko opisati ti stopnji in pri tem obravnavati pravne vidike, o katerih se sprašuje predložitveno sodišče.

36.

Kot sem navedel v uvodnih pojasnilih, je namen SUVP zagotoviti varstvo posameznikov pri obdelavi osebnih podatkov, ki je priznano kot temeljna pravica v členu 8(1) Listine in členu 16(1) PDEU. Ker lahko vsaka obdelava osebnih podatkov vpliva na zasebno življenje, je treba omeniti tudi varstvo, zagotovljeno s členom 7 Listine. ( 5 ) Poleg tega iz člena 1(2) SUVP v povezavi z uvodnimi izjavami 10, 11 in 13 te uredbe izhaja, da zakonodajalec Unije to nalogo zaupa organom in organizacijam Unije, pa tudi pristojnim organom držav članic, med katerimi so nadzorni organi in nacionalna sodišča. ( 6 )

37.

V zvezi s tem je treba poudariti, da člen 8(3) Listine določa, da spoštovanje pravil o varstvu osebnih podatkov nadzira neodvisen organ. Člen 57(1)(a) SUVP to obveznost, ki izhaja iz primarnega prava, izvaja tako, da določa, da mora vsak nadzorni organ spremljati in zagotavljati uporabo te uredbe. Obravnava pritožb, ki jih vloži posameznik, na katerega se nanašajo osebni podatki, je del njegovih odgovornosti, kot je izrecno navedeno v členu 57(1)(f) SUVP.

38.

Sodišče je razsodilo, da mora v skladu s to določbo „vsak nadzorni organ na svojem ozemlju obravnavati pritožbe, ki jih lahko v skladu s členom 77(1) [SUVP] vloži vsaka oseba, kadar meni, da obdelava osebnih podatkov, ki se nanašajo nanjo, pomeni kršitev navedene uredbe, in v ustreznem obsegu preučiti vsebino pritožbe.“ ( 7 ) V zvezi s tem je treba opozoriti, da je Sodišče poudarilo obveznost nadzornega organa, da „mora tako pritožbo obravnavati z vso potrebno skrbnostjo“, da se zagotovi spoštovanje določb SUVP. Prav tako je treba navesti, da je v uvodni izjavi 141 SUVP pojasnjeno, da bi bilo treba „[p]reiskavo na podlagi pritožbe […] izvesti v obsegu, ki je v posamezni zadevi ustrezen“ (moj poudarek).

39.

Zaradi vsega navedenega menim, da mora nadzorni organ obvezno obravnavati pritožbe posameznika, na katerega se nanašajo osebni podatki, in sicer z vso skrbnostjo, ki je potrebna v posamezni zadevi. ( 8 ) Ker načeloma lahko vsaka kršitev SUVP posega v temeljne pravice, se mi to, da bi bila nadzornemu organu podeljena pravica, da se o tem, ali bo pritožbe obravnaval ali ne, odloči po prostem preudarku, ne bi zdelo združljivo s sistemom, vzpostavljenim s to uredbo. Takšen pristop bi spodkopaval ključno vlogo tega organa, ki mu je podeljena s SUVP, in sicer zagotavljati spoštovanje pravil o varstvu osebnih podatkov, ter bi bil zato v nasprotju s cilji zakonodajalca Unije. ( 9 ) Nazadnje ne smemo pozabiti, da so pritožbe za nadzorni organ dragocen vir informacij, saj mu omogočajo odkrivanje kršitev. ( 10 )

40.

Ta razlaga je še toliko bolj prepričljiva, ker člen 57(1)(f) SUVP nadzornemu organu pri obravnavi take pritožbe nalaga vrsto zahtev, in sicer obveznost, da v ustreznem obsegu preuči vsebino pritožbe in v razumnem roku obvesti pritožnika o poteku in rezultatu preiskave, zlasti če je potrebna nadaljnja preiskava ali usklajevanje z drugim nadzornim organom. Temu je treba dodati še obveznost iz člena 77(2) SUVP, da pritožnika obvesti o stanju zadeve in odločitvi o pritožbi, vključno z možnostjo pravnega sredstva na podlagi člena 78 SUVP. Vse te zahteve, ki so zajete s pojmom „dobro upravljanje“, ki je v členu 41 Listine izražen posebej v zvezi z dejavnostmi institucij in organov Unije, ( 11 ) so namenjene izboljšanju postopka obravnave pritožb, da bi ta postal pravo upravno sredstvo.

41.

Čeprav mora nadzorni organ kot garant spoštovanja določb SUVP obravnavati pritožbe, ki so vložene pri njem, pa več elementov govori v prid razlagi, da ima polje proste presoje pri preučitvi teh pritožb, kot tudi nekaj manevrskega prostora pri izbiri primernih sredstev za izpolnitev svojih nalog. Generalni pravobranilec H. Saugmandsgaard Øe je namreč opozoril, da so s členom 58(1) SUVP „nadzornim organom […] podeljena precejšnja preiskovalna pooblastila“ in da ti na podlagi člena 58(2) te uredbe razpolagajo „s širokim naborom sredstev […] za izpolnitev naloge, ki [jim] je bila zaupana“, pri čemer se je v tem okviru skliceval na različna pooblastila za sprejetje popravljalnih ukrepov, navedena v tej določbi. ( 12 ) Generalni pravobranilec je nato pojasnil, da čeprav mora pristojni nadzorni organ „v celoti izpolniti nalogo nadzora, ki mu je bila zaupana“, „izbira najbolj učinkovitega sredstva spada v [njegovo] diskrecijo […] glede na vse [zadevne] okoliščine“. ( 13 ) S to razlago se lahko le strinjam.

42.

Iz podrobnega opisa pooblastil nadzornih organov za sprejetje popravljalnih ukrepov je razvidno, da cilj zakonodajalca Unije ni bil, da postane pritožbeni postopek podoben postopku peticije. Nasprotno, zdi se, da je bil zakonodajni cilj ustvariti mehanizem, s katerim bi bilo mogoče učinkovito zaščititi pravice in interese pritožnikov. Ob tem se mi zdi jasno, da tega manevrskega prostora ni mogoče razumeti tako, da nadzorni organ razpolaga z neomejenim pooblastilom, ki mu omogoča samovoljno delovanje. Prav nasprotno, nadzorni organ mora pri izrabi tega manevrskega prostora upoštevati meje, ki mu jih nalaga pravo Unije. Zato tudi ni mogoče izključiti možnosti, da mora nadzorni organ kot upravni organ zaradi posebnih okoliščin obravnavane zadeve sprejeti določen ukrep, med drugim kadar obstaja resna nevarnost poseganja v temeljne pravice posameznika, na katerega se nanašajo osebni podatki.

43.

To razlago, ki nadzornemu organu daje nekaj manevrskega prostora pri izbiri sredstev, podpira člen 58(4) SUVP, ki določa, da „[n]adzorni organ izvaja pooblastila, ki so mu dodeljena v skladu s tem členom, na podlagi ustreznih zaščitnih ukrepov, vključno z učinkovitim pravnim sredstvom“ (moj poudarek), v skladu s členom 47 Listine. V členu 78(1) in (2) SUVP je poleg tega priznana pravica vsake osebe do učinkovitega pravnega sredstva zoper pravno zavezujočo odločitev, ki jo nadzorni organ sprejme v zvezi z njo, ali kadar ta organ ne obravnava njene pritožbe.

44.

To nas pripelje do vprašanja pravne narave odločb nadzornega organa, ki ga je predložitveno sodišče postavilo v predlogih za sprejetje predhodne odločbe. V zvezi s tem je treba navesti uvodno izjavo 141 SUVP, iz katere izhaja, da bi moral „[v]sak posameznik, na katerega se nanašajo osebni podatki, […] imeti pravico, da vloži pritožbo pri enem nadzornem organu, […] in pravico do učinkovitega pravnega sredstva v skladu s členom 47 Listine, kadar meni, da so njegove pravice iz te uredbe kršene, ali če nadzorni organ ne obravnava pritožbe, jo v celoti ali deloma zavrže ali zavrne ali ne ukrepa, kadar je tak ukrep potreben za zaščito pravic posameznika, na katerega se nanašajo osebni podatki“ (moj poudarek). V tej uvodni izjavi je upoštevano, da lahko odločba nadzornega organa posega v položaj posameznika, na katerega se nanašajo osebni podatki, med drugim če ta organ ugotovi, da pritožba ni utemeljena, ali meni, da ni kršitve SUVP, in torej ne sprejme ukrepov, da bi se položaj, zaradi katerega je bila vložena pritožba, popravil. Zakonodajalec Unije priznava, da ima taka odločba pravno zavezujoč učinek, in zato daje pritožniku možnost, da vloži pravno sredstvo pri nacionalnem sodišču.

45.

Prav tako je treba poudariti, da nadzorni organ ne more ne ukrepati, saj iz člena 78(2) SUVP izhaja, da „ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico do učinkovitega pravnega sredstva, kadar nadzorni organ, ki je pristojen na podlagi členov 55 in 56, ne obravnava pritožbe ali če posameznika, na katerega se nanašajo osebni podatki, v treh mesecih ne obvesti o stanju zadeve ali odločitvi o pritožbi, vloženi na podlagi člena 77“. Ta okoliščina nasprotuje temu, da bi se pritožbeni postopek obravnaval kot peticija.

46.

V obravnavani zadevi je nadzorni organ, kot je navedlo predložitveno sodišče v predložitvenih odločbah, v zvezi s tožečima strankama v postopkih v glavni stvari sprejel pravno zavezujoči odločbi. V bistvu je ugotovil, da je družba SCHUFA osebne podatke tožečih strank obdelovala zakonito na podlagi člena 6(1), prvi pododstavek, točki (b) in (f), SUVP in zato implicitno izključil uporabo preiskovalnega ali popravljalnega ukrepa.

47.

Pravno sredstvo iz člena 78 SUVP predstavlja drugo stopnjo upravnega varstva, ki jo določa ta uredba. V zvezi s tem je treba navesti, da sta tako „pritožba“ pri nadzornem organu kot „pravno sredstvo“ zasnovana kot „pravici“ posameznika, na katerega se nanašajo osebni podatki, kar je povsem razumljivo, če izhajamo iz predpostavke, da so členi od 77 do 79 SUVP namenjeni izvajanju pravice do učinkovitega pravnega sredstva, ki je določena v členu 47 Listine. Kot sem predhodno navedel, ( 14 ) je iz razlage člena 58(4) in člena 78 SUVP v povezavi z uvodno izjavo 141 te uredbe mogoče ta cilj jasno razbrati. ( 15 )

48.

Kar zadeva obseg sodnega nadzora nad odločbami, ki jih sprejme nadzorni organ, je treba opozoriti, da se na področju upravnega postopka praviloma uporabljajo nacionalna pravila v okviru procesne avtonomije ob upoštevanju načel enakovrednosti in učinkovitosti. ( 16 ) Menim pa, da je pravno sredstvo lahko „učinkovito“ v smislu člena 47 Listine in člena 78(1) SUVP le, če ima pristojno nacionalno sodišče pristojnost in dolžnost, da izvede celovit sodni nadzor nad vsebinsko odločitvijo nadzornega organa in tako preveri, ali je ta pravilno uporabil SUVP.

49.

Kot je Sodišče že opozorilo v sodni praksi, „ureditev, ki ne določa nobene možnosti, da bi posameznik lahko uporabil pravna sredstva za pridobitev dostopa do osebnih podatkov, ki se nanj nanašajo, ali dosegel popravo ali izbris takih podatkov, posega v bistvo temeljne pravice do učinkovitega sodnega varstva, določene v členu 47 Listine. Člen 47, prvi odstavek, Listine namreč določa, da ima vsakdo, ki so mu kršene pravice in svoboščine, zagotovljene s pravom Unije, pravico do učinkovitega pravnega sredstva pred sodiščem v skladu s pogoji, določenimi v tem členu. V zvezi s tem je sam obstoj učinkovitega sodnega nadzora, namenjenega zagotovitvi spoštovanja določb prava Unije, neločljivo povezan z obstojem pravne države.“ ( 17 )

50.

Za določitev obsega sodnega nadzora nad odločbami, ki jih sprejme nadzorni organ, se mi zdi primerno najprej navesti uvodno izjavo 141 SUVP, iz katere izhaja, da bi bilo treba „[p]reiskavo na podlagi pritožbe izvesti v obsegu, ki je v posamezni zadevi ustrezen, saj je lahko odločitev nadzornega organa predmet sodne presoje“ (moj poudarek). Nato je treba navesti uvodno izjavo 143 SUVP, v kateri je navedeno, da „bi morala imeti vsaka fizična ali pravna oseba na voljo učinkovito pravno sredstvo pred pristojnim nacionalnim sodiščem zoper odločitev nadzornega organa, ki ima pravne učinke za to osebo. Taka odločitev se nanaša zlasti na izvajanje preiskovalnih pooblastil nadzornega organa, popravljalnih pooblastil in pooblastil v zvezi z dovoljenji ali na zavržene ali zavrnjene pritožbe“ (moj poudarek). Menim, da je treba te odlomke razumeti tako, da mora biti sodni nadzor, ki ga mora opraviti nacionalno sodišče v skladu s členom 78 SUVP, celovit, kar pomeni, da mora zajemati vse upoštevne vidike, ki spadajo v polje proste presoje nadzornega organa v okviru preučitve vsebine pritožbe, kot tudi v njegovo polje prostega preudarka glede izbire preiskovalnih in popravljalnih ukrepov.

51.

Cilj zakonodajalca Unije, da zagotovi celovit sodni nadzor nad vsako odločbo nadzornega organa, ki ima pravne učinke za posameznika, na katerega se nanašajo osebni podatki, ki je pri njem vložil pritožbo, je še posebej očiten, če upoštevamo drug odlomek uvodne izjave 143 SUVP, v katerem je navedeno, da bi morala biti „[z]a postopke zoper nadzorni organ […] pristojna sodišča države članice, v kateri ima nadzorni organ sedež, izvajati pa bi se morali v skladu s postopkovnim pravom te države članice. Ta sodišča bi morala izvajati polno pristojnost, ki bi morala vključevati pristojnost za preučitev vseh vprašanj, ki se nanašajo na dejstva in zakonodajo v zvezi z zadevnim sporom“ (moj poudarek). ( 18 ) Menim, da le sodni nadzor v tem obsegu izpolnjuje zahteve iz člena 47 Listine. ( 19 )

52.

Trditve družbe SCHUFA in HBDI, ki zagovarjata omejen sodni nadzor nad odločbami nadzornih organov, se mi, nasprotno, ne zdijo prepričljive. Prvič, „neodvisnost“, ki je nadzornemu organu priznana v skladu s členom 52 SUVP, s katerim se uresničuje zahteva iz člena 8(3) Listine, je namenjena zaščiti tega organa pred kakršnim koli neupravičenim poseganjem, vendar ga ne odvezuje obveznosti, da, tako kot vsak drug nacionalni organ, svoje naloge in pristojnosti opravlja ob polnem spoštovanju prava Unije ter da privoli v učinkovit sodni nazor nad svojimi odločbami. Drugič, obstoj pravice do vložitve pravnega sredstva zoper upravljavca, ki je določena v členu 79 SUVP, ne izključuje pravice do vložitve tožbe zoper odločbo nadzornega organa na podlagi člena 78 SUVP. Ti pravni sredstvi obstajata avtonomno, ne da bi bilo eno podrejeno drugemu, tako da ju je mogoče uveljaviti vzporedno. ( 20 ) Tožečima strankama zato ni mogoče očitati, da sta ravnali nezakonito pri uveljavljanju svojih pravic, ki so zaščitene s SUPV, ker sta dali prednost določenemu pravnemu sredstvu. Zato je treba te trditve zavrniti.

53.

Glede na navedeno je treba na prvo vprašanje za predhodno odločanje odgovoriti, da je treba člen 78(1) SUVP razlagati tako, da iz te določbe izhaja, da je pravno zavezujoča odločba nadzornega organa predmet celovitega sodnega nadzora nad njeno vsebino.

54.

Drugo, tretje, četrto in peto vprašanje za predhodno odločanje se v bistvu nanašajo na zakonitost hrambe osebnih podatkov iz javnih registrov pri agencijah za kreditne informacije. Predložitveno sodišče s svojimi vprašanji opozarja na vrsto pravnih težav v zvezi s to prakso, ki jih bo treba strukturirano preučiti. Zaradi jasnosti se mi zdi vprašanja primerno združiti po temah in jih obravnavati v navedenem vrstnem redu.

55.

Da bi Sodišče lahko predložitvenemu sodišču podalo koristen odgovor, ki mu bo omogočil rešitev spora, o katerem odloča, bo moralo razložiti več določb SUVP, ki se zdijo upoštevne, čeprav v vprašanjih niso bile izrecno navedene. Tak pristop je mogoč, ker lahko Sodišče v skladu z ustaljeno sodno prakso iz vseh elementov, ki jih je predložilo predložitveno sodišče, zlasti iz obrazložitve predložitvene odločbe, ob upoštevanju predmeta spora o glavni stvari izlušči pravila in načela prava Unije, ki jih je treba razložiti. ( 21 )

56.

Taka temeljita analiza se mi zdi še toliko nujnejša, ker se predložitveno sodišče v svojih vprašanjih včasih sklicuje izključno na člena 7 in 8 Listine, čeprav se ti določbi ne smeta uporabljati ločeno, kot je pojasnilo Sodišče, temveč ju je treba upoštevati v okviru tehtanja iz člena 6(1), prvi pododstavek, točka (f), SUVP. ( 22 ) Poleg tega naj v zvezi s tem spomnim, da je glede na to, da se z določbami SUVP izvajajo zadevne temeljne pravice, razlaga sekundarnega prava, ki ga je treba razlagati v povezavi s primarnim pravom, katerega sestavni del je Listina, logično izhodišče vsake razlage. ( 23 ) V analizo v nadaljevanju bom torej vključil vse določbe, ki se mi zdijo upoštevne.

57.

Poglavje II SUVP, naslovljeno „Načela“, določa načela v zvezi z obdelavo osebnih podatkov. V nadaljevanju bom preučil, ali je praksa agencij za kreditne informacije, in sicer hramba osebnih podatkov iz javnih registrov za obdobje treh let, v skladu z načeli, ki se mi zdijo najbolj upoštevna v tem okviru, in sicer načeli zakonitosti, omejitve namena in najmanjšega obsega podatkov.

58.

Za namene analize se bom oprl na informacije, ki sta jih posredovala predložitveno sodišče in družba SCHUFA, pri čemer vseeno poudarjam, da mora zadnjenavedena kot upravljavec dokazati, v skladu z načelom odgovornosti iz člena 5(2) SUVP, da so bila zgoraj navedena načela spoštovana.

59.

Člen 5(1)(a) SUVP zahteva, da so osebni podatki obdelani zakonito, pošteno in na pregleden način v zvezi s posameznikom, na katerega se nanašajo. V skladu s členom 6(1) SUVP je obdelava osebnih podatkov zakonita le, če je izpolnjen pogoj v zvezi z enim od razlogov, naštetih v tej uredbi. Kot je razsodilo Sodišče, gre za izčrpen in taksativen seznam primerov, v katerih je mogoče šteti, da je taka obdelava zakonita. ( 24 ) Predložitveno sodišče želi v bistvu izvedeti, ali člen 6(1), prvi pododstavek, točka (f), SUVP zasebni agenciji za kreditne informacije dovoljuje, da hrani osebne podatke iz javnih registrov, da bi te podatke na zahtevo dala na voljo stranki.

60.

V skladu s sodno prakso Sodišča ( 25 ) člen 6(1), prvi pododstavek, točka (f), SUVP določa tri kumulativne pogoje za to, da je obdelava osebnih podatkov zakonita, in sicer, prvič, da si upravljavec ali tretja oseba ali osebe, ki so jim podatki posredovani, prizadevajo za zakoniti interes, drugič, da je obdelava osebnih podatkov potrebna za uresničitev zakonitega interesa, ki se mu sledi, in tretjič, da ne prevladajo temeljne pravice in svoboščine posameznika, na katerega se nanaša varstvo podatkov. Čeprav mora predložitveno sodišče presoditi, ali so ti pogoji izpolnjeni, pa ga mora Sodišče pri tej presoji usmerjati, tako da razjasni postavljena pravna vprašanja.

61.

Najprej, glede uresničevanja „zakonitega interesa“ opozarjam, da SUVP in sodna praksa priznavata širok nabor interesov, ki se štejejo za zakonite, ( 26 ) pri čemer pojasnjujeta, da mora upravljavec v skladu s členom 13(1)(d) SUVP navesti zakonite interese, ki se uresničujejo na podlagi člena 6(1), prvi pododstavek, točka (f), SUVP.

62.

Družba SCHUFA trdi, da se z zadevno obdelavo podatkov uresničujejo zelo pomembni zakoniti interesi. Natančneje, agencije za kreditne informacije naj bi obdelovale podatke, potrebne za ocenjevanje plačilne sposobnosti posameznikov ali podjetij, da bi lahko te informacije dale na razpolago svojim pogodbenim partnerjem. To naj bi ščitilo tudi ekonomske interese podjetij, ki želijo skleniti pogodbe, povezane s posojili. Poleg tega naj bi bila določitev plačilne sposobnosti in zagotavljanje informacij o njej podlaga za kreditiranje in sposobnost delovanja gospodarstva. Dejavnost teh agencij naj bi prispevala tudi k uresničitvi poslovnih želja posameznikov, ki se zanimajo za transakcije, povezane s posojili, saj naj bi informacije omogočale hitro in nebirokratsko preverjanje.

63.

Menim, da načeloma ni nobenega objektivnega razloga za to, da bi dvomili o zakonitosti interesa družbe SCHUFA, da svojim strankam zagotavlja zgoraj opisano poslovno storitev, niti interesa strank družbe SCHUFA, da te storitve uporabljajo za oceno plačilne sposobnosti potencialnih poslovnih partnerjev v navedenem smislu. Čeprav drži, da se tovrstne storitve ponujajo v zameno za plačilo in zato spadajo v gospodarski model zasebne družbe, pa ta okoliščina sama po sebi ne zadostuje za dvom o tem, da je prvi pogoj iz člena 6(1), prvi pododstavek, točka (f), SUVP v obravnavani zadevi izpolnjen.

64.

To drži še toliko bolj, kadar je cilj, ki se uresničuje z zadevno storitvijo, v bistvu enak cilju, ki ga je želel doseči zakonodajalec Unije s sprejetjem člena 24 Uredbe 2015/848, s katerim se državam članicam nalaga, da na svojem ozemlju vzpostavijo in vzdržujejo enega ali več registrov, v katerih so objavljene informacije o postopkih v primeru insolventnosti. Kot izhaja iz uvodne izjave 76 te uredbe je cilj teh javnih registrov „boljše[…] zagotavljanj[e] informacij zadevnim upnikom in sodiščem ter preprečevanj[e] uvedbe vzporednih postopkov v primeru insolventnosti“. Zdi se mi, da je cilj storitve, ki jo ponuja družba SCHUFA, enak. Vprašanje, ali lahko vzporednost sistemov vodi do pravnih nasprotij, bom preučil pozneje. V tej fazi analize je dovolj navesti, da je za obdelavo podatkov, ki jo izvaja družba SCHUFA, glede na to opredelitev ciljev treba šteti, da se z njo uresničuje zakoniti interes v smislu člena 6(1), prvi pododstavek, točka (f), SUVP.

65.

Glede pogoja v zvezi tem, da je obdelava osebnih podatkov potrebna za uresničitev zakonitega interesa, ki se mu sledi, morajo biti v skladu s sodno prakso Sodišča odstopanja od načela varstva osebnih podatkov in njegove omejitve strogo omejeni na tisto, kar je nujno. ( 27 ) Zato je potrebna tesna povezava med obdelavo in zasledovanim interesom, če ni drugih možnosti, ki bi bolj spoštovale varstvo osebnih podatkov, saj ne zadostuje, da je obdelava zgolj koristna za upravljavca.

66.

V obravnavani zadevi bi bilo treba dokazati, da je za družbo SCHUFA pridobivanje osebnih podatkov v zvezi z insolventnostjo iz javnih registrov in njihova zasebna hramba edini način, da lahko svojim strankam zagotavlja prav te informacije v poslovne namene. Ni mogoče izključiti, da bi lahko družba SCHUFA izvajala poslovno storitev in zagotavljala informacije o plačilni sposobnosti posameznikov z uporabo drugih razpoložljivih podatkov. Predložitveno sodišče mora preveriti, ali bi ta možnost družbi SCHUFA še vedno omogočala učinkovito zagotavljanje te poslovne storitve njenim strankam.

67.

Družba SCHUFA meni, da je obdelava podatkov potrebna. Po njenih navedbah agencija za kreditne informacije ne bi mogla pravočasno zagotoviti informacij, če podatkov ne bi začela zbirati, preden prejme dejansko povpraševanje. Družba SCHUFA meni, da to, da so podatki določeno obdobje (tudi) javno dostopni, nikakor ne vpliva na zakonite interese agencij za kreditne informacije niti na potrebo po obdelavi.

68.

Če hramba osebnih podatkov iz javnih registrov ne bi bila potrebna za to, da bi lahko družba SCHUFA strankam zagotavljala svojo poslovno storitev, ta obdelava ne bi bila zakonita na podlagi člena 6(1), prvi pododstavek, točka (f), SUVP. Če pa bi bil, nasprotno, drugi pogoj iz te določbe izpolnjen, bi moralo predložitveno sodišče preučiti še tretji in zadnji kumulativni pogoj iz navedene določbe.

69.

Nazadnje, glede uravnoteženja interesov upravljavca na eni strani z interesi ali temeljnimi pravicami in svoboščinami posameznika, na katerega se nanašajo osebni podatki, na drugi strani mora predložitveno sodišče v skladu s sodno prakso Sodišča pretehtati zadevne interese. ( 28 ) V zvezi s tem so v smernicah nekdanje delovne skupine iz člena 29, ki je postala Evropski odbor za varstvo podatkov, katerega naloge so opredeljene v členu 70 SUVP, našteta ta merila, ki jih je treba upoštevati pri tem tehtanju: (i) ocena zakonitega interesa upravljavca; (ii) učinek na posameznike, na katere se osebni podatki nanašajo; (iii) začasno ravnovesje in (iv) dodatni zaščitni ukrepi, ki jih upravljavec uporablja za preprečevanje neupravičenega učinka na posameznike, na katere se osebni podatki nanašajo. ( 29 ) Predlagam, da se za podrobno in logično analizo ta merila uporabijo za postopka v glavni stvari. Tak pristop bo dodatno prispeval k doslednejši uporabi SUVP v skladu s cilji zakonodajalca Unije,

70.

Kar zadeva prvo merilo, je treba ugotoviti, da je interes tako družbe SCHUFA kot njenih strank, izključno ekonomski. Zasebne agencije hranijo osebne podatke, uvožene iz javnih registrov, da svojim strankam ponujajo storitev zagotavljanja informacij o plačilni sposobnosti posameznika, na katerega se nanašajo ti podatki, tako da med drugim uporabijo te podatke. Kot sem že predhodno pojasnil, ( 30 ) se zdi, da je tak interes zakonit za namene te analize.

71.

Kar zadeva drugo merilo, to je učinek obdelave na posameznika, na katerega se nanašajo osebni podatki, se zdi, da je rok za izbris bistven dejavnik. Daljše kot je obdobje hrambe podatkov v podatkovnih bazah zasebnih agencij za kreditne informacije, večje so posledice za posameznika, na katerega se ti podatki nanašajo. V obravnavani zadevi so se osebni podatki tožečih strank v postopku v glavni stvari obdelovali v javnem registru zaradi „boljšega zagotavljanja informacij zadevnim upnikom in sodiščem ter preprečevanja uvedbe vzporednih postopkov v primeru insolventnosti“, kot se zahteva v uvodni izjavi 76 Uredbe 2015/848. Nemški zakonodajalec je pri tehtanju različnih interesov menil, da je za dosego tega cilja potrebno, da so podatki v zvezi s postopkom v primeru insolventnosti v takih javnih registrih objavljeni šest mesecev. Zdi se torej, da ima hramba osebnih podatkov za obdobje, ki je daljše od teh šest mesecev, a priori precejšen negativen vpliva na posameznika, na katerega se nanašajo ti podatki.

72.

Iz sodne prakse Sodišča je razvidno, da obstajajo še drugi dejavniki, ki jih je treba upoštevati v okviru analize, in sicer način dostopa do podatkovnih baz in zagotovljene možnosti za lažje širjenje osebnih podatkov. ( 31 ) Povedano preprosto, lažje kot so informacije dostopne javnosti, hujši je poseg v temeljne pravice posameznika, na katerega se nanašajo. To posebej drži, če je število uporabnikov, ki lahko dostopajo do podatkov posameznika, na katerega se nanašajo, veliko. ( 32 ) Zato se mi zdi očitno, da čeprav so podatki za obdobje šestih mesecev dostopni že v javnih registrih, imata njihova vzporedna hramba in dostopnost v podatkovnih bazah zasebnih agencij za kreditne informacije dodaten vpliv na zasebnost posameznika, poleg negativnih posledic dostopnosti teh podatkov v javnih registrih.

73.

Dodaten dejavnik, ki ga je treba upoštevati pri analizi, je morebitna občutljivost zadevnih podatkov. ( 33 ) Na splošno je mogoče trditi, da se vpliv na posameznika, na katerega se nanašajo osebni podatki, povečuje glede na občutljivost teh podatkov. V zvezi s tem je treba navesti, da je iz sodne prakse Sodišča razvidno, da so osebni podatki v zvezi z izterjavo dolgov dejansko občutljivi podatki za zasebnost posameznika, na katerega se nanašajo. ( 34 ) Omogočanje dostopa do tovrstnih podatkov načeloma neomejenemu številu uporabnikov je torej treba šteti za resen poseg v temeljne pravice tega posameznika. ( 35 )

74.

Nazadnje, zdi se mi, da je treba nujno upoštevati tudi dejavnik časa. Tudi zakonita obdelava podatkov namreč sčasoma lahko ni več v skladu s SUVP, kadar ti podatki niso ali niso več upoštevni ali so pretirani glede na namen, za katerega so bili prvotno zbrani. Zato se resno sprašujem, kako bi bilo mogoče upravičiti triletno hrambo osebnih podatkov, če nacionalni zakonodajalec meni, da je šestmesečno obdobje hrambe, kar je veliko krajše obdobje, več kot dovolj za upoštevanje poslovnih interesov gospodarskih subjektov. Ugotoviti moram, da družba SCHUFA na to vprašanje ni uspela jasno in prepričljivo odgovoriti, ( 36 ) čeprav mora v skladu s členom 5(2) SUVP dokazati, da so bila načela v zvezi z obdelavo osebnih podatkov upoštevana. ( 37 )

75.

Na podlagi presoje vseh elementov, navedenih v predhodnih točkah, ugotavljam, da se zdi, da precejšnje negativne posledice, ki jih ima hramba podatkov za posameznika, na katerega se nanašajo, po izteku zadevnih šest mesecev, prevladajo nad poslovnim interesom zasebne družbe in njenih strank, da se podatki hranijo po izteku tega obdobja. V tem okviru je treba poudariti, da je namen odobritve odpisa dolga upravičencu omogočiti, da ponovno sodeluje v gospodarskem življenju. ( 38 ) Na ta vidik so na obravnavi opozorile tudi tožeči stranki v postopku v glavni stvari in Komisija. Ta cilj pa bi bil ogrožen, če bi bile zasebne agencije za kreditne informacije pooblaščene, da hranijo osebne podatke v svojih podatkovnih bazah po tem, ko so bili ti podatki iz javnega registra izbrisani.

76.

Nazadnje, kar zadeva morebitne dodatne zaščitne ukrepe, ki jih upravljavec uporablja za preprečevanje kakršnega koli neupravičenega učinka na posameznike, na katere se osebni podatki nanašajo, iz ničesar v predložitveni odločbi ali stališču družbe SCHUFA ni razvidno, da bi taki zaščitni ukrepi obstajali.

77.

Glede na navedeno menim, da hramba podatkov s strani agencije za kreditne informacije po tem, ko so bili osebni podatki v zvezi z insolventnostjo izbrisani iz javnih registrov, ne more biti zakonita na podlagi člena 6(1), prvi pododstavek, točka (f), SUVP.

78.

Kar zadeva šestmesečno obdobje, med katerim so osebni podatki dostopni tudi v javnih registrih, mora predložitveno sodišče pretehtati zgoraj navedene interese in učinke na posameznika, na katerega se nanašajo osebni podatki, da ugotovi, ali je vzporedna hramba teh podatkov pri zasebnih agencijah za kreditne informacije zakonita na podlagi člena 6(1), prvi pododstavek, točka (f), SUVP.

79.

V skladu z načelom omejitve namena iz člena 5(1)(b) SUVP je treba zagotoviti, da se osebni podatki, zbrani za določen namen, ne obdelujejo nadalje na način, ki ni združljiv s temi nameni. V obravnavani zadevi so podatke v zvezi z insolventnostjo in odpisom dolga obdelovali javni organi v okviru izvrševanja zakonskih obveznosti.

80.

Kar pa zadeva poznejšo uporabo podatkov s strani zasebne agencije, je treba glede na SUVP in ob uporabi meril, navedenih v členu 6(4) te uredbe, preučiti, ali je namen nadaljnje obdelave združljiv s prvotnim namenom. Točke (a), (b) in (d) te določbe so v obravnavani zadevi še posebej upoštevne. V njih so določena naslednja merila: (i) povezava med prvotnim namenom in namenom nadaljnje obdelave; (ii) okoliščine, v katerih so bili podatki zbrani, in zlasti razmerje med posamezniki, na katere se nanašajo osebni podatki, in upravljavcem, ter (iii) morebitne posledice načrtovane nadaljnje obdelave za posameznike, na katere se nanašajo osebni podatki.

81.

Prvič, zdi se mi, da je povezava med namenoma neznatna, pa čeprav le zato, ker je prvotni namen določen z zakonom, natančneje s pravom Unije, s katerim je državam članicam naložena obveznost, da vzpostavijo in vzdržujejo registre, ( 39 ) in ker je upravljavec javni organ, ki deluje v okviru nalog, ki so mu zaupane z zakonom, medtem ko namen nadaljnje obdelave uresničuje zasebni subjekt v okviru poslovne dejavnosti zagotavljanja gospodarskih informacij o posameznikih.

82.

Drugič, kar zadeva okoliščine, v katerih so bili zbrani podatki, je treba ugotoviti, da ne obstaja nobena povezava med upravljavcem in posameznikom, na katerega se nanašajo osebni podatki, saj se podatki zbirajo posredno prek registrov, posameznik, na katerega se nanašajo osebni podatki, pa torej ni seznanjen s tem, da se lahko njegovi podatki nadalje uporabijo, niti s tem, kdo jih uporabi in za kakšen namen. Ta vidik se mi zdi z vidika varstva osebnih podatkov posebej pomemben glede na to, da posameznik praviloma ne more razumno pričakovati nadaljnje obdelave svojih osebnih podatkov. ( 40 ) Na podlagi dejstva, da je z zakonom predviden določen čas hrambe podatkov v javnih registrih, je mogoče upravičeno domnevati, da bodo zadevni podatki po izteku tega obdobja izbrisani.

83.

Tretjič, kar zadeva morebitne posledice nadaljnje obdelave podatkov za posameznike, na katere se ti nanašajo, je treba poudariti, da se bodo informacije v zvezi s postopki v primeru insolventnosti še naprej uporabljale kot negativni dejavnik pri prihodnji oceni njihove kreditne in plačilne sposobnosti, kar močno vpliva na njihove pravice. Napačna predstava o ekonomskem položaju posameznika, na katerega se nanašajo osebni podatki, ima lahko zanj neugodne učinke, s tem ko mu občutno oteži uresničevanje svoboščin in ga celo stigmatizira v družbi. Ker se posameznik, na katerega se nanašajo osebni podatki, lahko sooči z odrekanjem blaga in storitev, je lahko žrtev neupravičene diskriminacije.

84.

Ob upoštevanju teh treh meril, ki morajo biti izpolnjena, da je uporaba osebnih podatkov skladna s prvotnim namenom, kot se zahteva s členom 6(4) SUVP, se zdi vprašljivo, da je lahko nadaljnja uporaba teh podatkov skladna s tem namenom.

85.

Poleg tega je treba navesti, da je nacionalni zakonodajalec pri tem, ko je trajanje objave o položaju insolventnosti in sodne odločbe o odpisu dolga, če so izpolnjeni zakonsko določeni pogoji, določil na največ šest mesecev, že upošteval uresničevanje javnega interesa in pretehtal interes upnikov na eni strani z interesi in pravicami insolventnih posameznikov na drugi strani. ( 41 ) Obdelava osebnih podatkov s strani zasebnih agencij za obdobje, ki je šestkrat daljše od tistega, ki je zakonsko določeno za javne registre, se zdi pretirana in de facto škoduje posamezniku, na katerega se nanašajo osebni podatki, čeprav zakon očitno ne predvideva nič takega. Kot sem že poudaril, je namen odobritve odpisa dolga upravičencu omogočiti, da ponovno sodeluje v gospodarskem življenju. Ta cilj pa bi bil ogrožen, če bi bile zasebne agencije za kreditne informacije pooblaščene, da hranijo osebne podatke v svojih podatkovnih bazah po tem, ko so bili ti podatki iz javnega registra izbrisani. ( 42 ) Ker ni dokaza o nasprotnem, obstaja bojazen, da so bili pogoji za dostop do podatkovne baze zasnovani z namenom zaobiti nacionalno zakonodajo, ki jo je država članica sprejela, da bi izpolnila obveznosti, ki jih ima na podlagi prava Unije. ( 43 )

86.

Poleg tega se ne zdi sorazmerno, da bi v prihodnjih ocenah „ponovno uporabili“ pretekli in že pravno pojasnjen položaj, kot je odpis dolga, namesto da bi pri analizi tveganj uporabili posodobljene dejavnike ter tako zagotovili natančnejšo in objektivnejšo oceno ekonomskega položaja posameznika, na katerega se nanašajo osebni podatki. Vrednost več let stare informacije o ekonomskem položaju posameznika je namreč lahko vprašljiva. Osebni podatki v zvezi z okoliščino, ki se je zgodila nekoč v preteklosti, nikakor ne dajejo zanesljivih informacij o sedanjem ekonomskem položaju posameznika, na katerega se nanašajo. Zdi se, da je nemški zakonodajalec prepoznal to težavo in se je zato pravilno odločil za znatno krajše obdobje hrambe podatkov.

87.

Nazadnje, zdi se mi, da je ravnanje agencij za kreditne informacije v nasprotju z načelom najmanjšega obsega podatkov iz člena 5(1)(c) SUVP, v skladu s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. V tem pogledu se dejansko postavlja vprašanje o smiselnosti omogočanja dostopa do osebnih podatkov, ki so javnosti že dostopni v registrih, ki so jih ustvarile države članice. Zdi se mi, da lahko taka dejavnost prej vodi k širjenju občutljivih informacij, ki niso nujno potrebne za uresničevanje poslovnih interesov gospodarskih subjektov. ( 44 )

88.

Iz zgoraj navedenih razlogov menim, da praksa hrambe teh podatkov pri zasebni agenciji za kreditne informacije ni v skladu z načeloma omejitve namena in najmanjšega obsega podatkov, ki sta določeni v členu 5(1), točka (b) oziroma (c), SUVP.

89.

Na podlagi zgornje analize ugotavljam, da praksa agencij za kreditne informacije, in sicer hramba osebnih podatkov iz javnih registrov za obdobje treh let, ni v skladu z načeli, ki urejajo obdelavo osebnih podatkov, določenimi v SUVP. Ob tem je treba pojasniti, da ta ugotovitev temelji na presoji dejanskega stanja, ki jo mora navsezadnje opraviti predložitveno sodišče, ki mora odločiti o sporu.

90.

Predložitveno sodišče želi izvedeti tudi, ali „pravica do pozabe“, določena v členu 17 SUVP, pomeni, da se osebni podatki izbrišejo iz podatkovnih baz zasebne agencije za kreditne informacije, ki obstajajo vzporedno z javnimi registri in vsebujejo iste podatke. Predložitveno sodišče razlikuje med obdobjem, ko so osebni podatki dostopni tudi v javnem registru, in obdobjem, ko ti podatki tam niso več dostopni.

91.

V členu 17(1)(d) SUVP je določena absolutna pravica posameznika, na katerega se nanašajo osebni podatki, da se ti podatki izbrišejo, če so bili obdelani nezakonito. ( 45 ) Če bi predložitveno sodišče, ob upoštevanju ugotovitve, do katere sem prišel v okviru svoje analize, ( 46 ) menilo, da družba SCHUFA osebnih podatkov tožečih strank ni mogla obdelovati zakonito na podlagi člena 6(1), prvi pododstavek, točka (f), SUVP, bi bila taka obdelava posledično nezakonita, če se ne bi uporabljal noben drug razlog iz člena 6(1) SUVP. V takem primeru bi morala družba SCHUFA osebne podatke tožečih strank izbrisati, zadnjenavedeni pa bi imeli pravico do tega, in to ne glede na to, ali sta izbris podatkov zahtevali v obdobju pred izbrisom teh podatkov iz javnega registra ali po njem. Zdi se, da je tak rezultat tudi v skladu z zahtevami iz člena 5(1)(e) SUVP, ki določa, da so osebni podatki „hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo“ (moj poudarek).

92.

V zvezi s tem moram opozoriti na člen 79(5) Uredbe 2015/848, v katerem je poudarjen pomen, ki ga je zakonodajalec Unije pripisal pravici do izbrisa, zlasti kadar organi obdelujejo osebne podatke, ki so posebej občutljivi, kot so podatki v zvezi s plačilno sposobnostjo posameznikov, na katere se osebni podatki nanašajo. V skladu s to določbo „[d]ržave članice v okviru obveščanja, ki bi ga morale zagotoviti posameznikom, na katere se nanašajo osebni podatki, da bi jim omogočile uveljavljanje njihovih pravic, zlasti pravice do izbrisa podatkov, osebe, na katere se nanašajo podatki, obvestijo o obdobju dostopnosti, določenem za osebne podatke, shranjene v registrih insolventnosti“ (moj poudarek). Zakonodajalec Unije je očitno prepoznal potrebo po izbrisu tovrstnih podatkov, kadar njihova hramba ni več upravičena.

93.

Čeprav se predloga za sprejetje predhodne odločbe nanašata samo na razlago člena 17(1)(d) SUVP, menim, da se lahko točka (c) odstavka (1) izkaže za prav tako upoštevno za namen sodbe, ki jo je treba izdati v obravnavanih zadevah, in sicer v primeru, da bi predložitveno sodišče menilo, v nasprotju z ugotovitvijo, do katere sem prišel na podlagi razpoložljivih informacij, da je lahko družba SCHUFA osebne podatke tožečih strank obdelovala zakonito na podlagi člena 6(1), prvi pododstavek, točka (f), SUVP. Ta določba določa pravico do izbrisa osebnih podatkov, kadar posameznik, na katerega se nanašajo osebni podatki, ugovarja obdelavi v skladu s členom 21(1) SUVP, za njihovo obdelavo pa ne obstajajo nobeni prevladujoči zakoniti razlogi. Iz tega besedila izhaja, da je vsak „prevladujoč[…] zakonit[…] razlog“ za obdelavo izjema od pravice posameznika, na katerega se nanašajo osebni podatki, da ugovarja obdelavi in doseže izbris svojih osebnih podatkov. Zato se domneva, da ima posameznik, na katerega se nanašajo osebni podatki, pravico, da ugovarja obdelavi, in pravico do izbrisa, če ne obstajajo prevladujoči zakoniti razlogi. ( 47 )

94.

Menim, da v interesu učinkovitega varstva osebnih podatkov ne bi smelo biti velikih ovir za uveljavljanje pravice do izbrisa, zlasti kadar je na trgu več agencij za kreditne informacije, ki hranijo podatke vzporedno z javnim registrom. Če bi bilo uresničevanje te pravice zaradi ozke razlage člena 17(1) SUVP pretirano oteženo, bi obstajala nevarnost, da bi konkurenti zaobšli varstvo, katerega zagotavljanju je namenjena SUVP. Opozoriti pa je treba, da je bil cilj zakonodajalca Unije „[v] vsej Uniji […] zagotoviti dosledno in enotno uporabo pravil za varstvo temeljnih pravic in svoboščin posameznikov pri obdelavi osebnih podatkov“ (moj poudarek), kot je razvidno iz uvodne izjave 10 SUVP. Zato mora biti posamezniku, na katerega se nanašajo osebni podatki, omogočeno, da uveljavlja svoje pravice zoper vse agencije, ki kršijo ta pravila. Glede na to, da je družba SCHUFA le ena od številnih velikih agencij za kreditne informacije v Nemčiji, bo treba ugotoviti, ali je hramba osebnih podatkov vzporedno z javni registrom razširjena praksa med temi agencijami.

95.

V tej fazi analize je torej treba ugotoviti, da se tožeči stranki načeloma lahko sklicujeta na pravico do izbrisa na podlagi člena 17(1) SUVP. Drugače bi bilo le, če bi zasebna agencija za kreditne informacije uspela „doka[zati] nujne legitimne razloge za obdelavo, ki prevladajo nad interesi, pravicami in svoboščinami posameznika, na katerega se nanašajo osebni podatki“, v smislu člena 21(1) SUVP. Ker iz razpoložljivih informacij ni mogoče razbrati nujnih razlogov, ki bi lahko obstajali v sporu v glavni stvari, mora predložitveno sodišče ugotoviti dejansko stanje in po potrebi pretehtati zadevne interese.

96.

Glede na zgornje ugotovitve je treba člen 17(1)(d) SUVP razlagati tako, da ima posameznik, na katerega se nanašajo osebni podatki, pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke, ki se nanašajo nanj, če so bili ti podatki obdelani nezakonito v skladu s členom 6(1) navedene uredbe. Člen 17(1)(c) SUVP je treba razlagati tako, da ima posameznik, na katerega se nanašajo osebni podatki, načeloma pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke, ki se nanašajo nanj, če obdelavi ugovarja v skladu s členom 21(1) navedene uredbe. Predložitveno sodišče mora preveriti, ali izjemoma obstajajo nujni zakoniti razlogi za obdelavo.

97.

Predložitveno sodišče želi tudi izvedeti, ali je v skladu s pravom Unije, da se v kodeksu ravnanja v smislu člena 40 SUVP določijo roki za preverjanje in izbris, ki so daljši od rokov hrambe, določenih za javne registre, ne da bi bilo treba opraviti tehtanje iz člena 6(1), prvi pododstavek, točka (f), te uredbe.

98.

V zvezi s tem je treba najprej ugotoviti, da po navedbah predložitvenega sodišča trenutno ne obstaja nobena nacionalna ureditev, v kateri bi bili določeni roki za izbris za podatkovne baze, ki jih vodijo agencije za kreditne informacije. Zdelo naj bi se pa, da zadevne stranke kodeks ravnanja, ki so ga skupaj sprejeli nadzorni organi in združenje agencij za kreditne informacije, dojemajo kot nekakšno „pravno podlago“, s katero je mogoče upravičiti zgoraj opisano prakso. Tako dojemanje se mi zdi pravno sporno iz razlogov, navedenih v nadaljevanju.

99.

Tak kodeks ravnanja je s pravnega vidika samo prostovoljna zaveza tistih, ki so ga pripravili in sprejeli, to je zgoraj navedenega združenja in njegovih članov. Enako to, da je kodeks ravnanja odobril nadzorni organ, pomeni samo, da se zanj kot upravni organ šteje, da ga navedeni kodeks ravnanja zavezuje. Vendar se mi zdi očitno, da v skladu s pravnim načelom pacta tertiis nec nocent nec prosunt ni zavezujoč za tretje osebe. Sicer bi veljal ne le za posameznike, katerih podatki se obdelujejo, temveč tudi za agencije, ki niso sodelovale pri pripravi takega kodeksa ravnanja.

100.

Kodeks ravnanja po definiciji nima normativne vrednosti v pravnem redu, temveč je namenjen bolj pojasnitvi določb pravnega akta za olajšanje njegove uporabe. To razlago potrjujeta odstavka 1 in 2 člena 40 SUVP, iz katerih je razvidno, da je namen kodeksov ravnanja, ki jih morajo pripraviti združenja in druga telesa, ki predstavljajo vrste upravljavcev ali obdelovalcev, prvič, „prispevati k pravilni uporabi“, in, drugič, „podrobneje obrazložiti uporabo“ te uredbe (moj poudarek). Ker je naloga zadevnega kodeksa ravnanja zgolj zagotavljanje pravilne uporabe SUVP v določenem sektorju, torej ne more biti sam pravna podlaga, ki bi upravičevala obdelavo osebnih podatkov. ( 48 )

101.

Pravno podlago, ki upravičuje tako obdelavo, je mogoče najti samo v členu 6 SUVP ali, če obstaja pomensko odprta določba, ki se uporablja, v nacionalnem pravu. V teh sklepnih predlogih sem že navedel, da člen 6 SUVP določa izčrpen in taksativen seznam primerov, v katerih je mogoče šteti, da je obdelava osebnih podatkov zakonita. ( 49 ) Zato s pravili kodeksa ravnanja tega seznama ne bi bilo mogoče razširiti, ne da bi s tem kršili pravo Unije.

102.

Zdi se mi pa, da je tako prav v primeru, kadar je, tako kot v obravnavani zadevi, s temi pravili agencijam za kreditne informacije naložena obveznost, da podatke posameznikov, na katere se nanašajo, hranijo za obdobje treh let, to je za daljše časovno obdobje, ki ga ni mogoče upravičiti z vidika načel, ki urejajo obdelavo osebnih podatkov, določenih v SUVP. Natančneje, kot sem pokazal v okviru moje analize, hrambe teh podatkov v obdobju po izbrisu osebnih podatkov v zvezi z insolventnostjo iz javnih registrov ni mogoče šteti za zakonito na podlagi člena 6(1), prvi pododstavek, točka (f), SUVP. ( 50 )

103.

V tej fazi analize je torej treba ugotoviti, da kodeksov ravnanja, ki bi vodili do rezultata, ki je drugačen od tistega, ki bi ga dobili z uporabo člena 6(1), prvi pododstavek, točka (f), SUVP, ni mogoče upoštevati pri tehtanju, ki se izvaja na podlagi te določbe. Agencije za kreditne informacije se kot „upravljav[ci]“ v smislu člena 4(7) SUVP ne morejo skrivati za pravili kodeksa ravnanja, ki so jih same pripravile, da bi se zakonito razbremenile obveznosti, ki jih imajo na podlagi te uredbe.

104.

Glede na zgornje ugotovitve menim, da je treba člen 40(2) in (5) SUVP razlagati tako, da s kodeksi ravnanja, ki so pripravljeni v skladu s temi določbami in jih je morda odobril nadzorni organ, ni mogoče pravno zavezujoče določiti pogojev za zakonito obdelavo osebnih podatkov, ki se razlikujejo od pogojev, opredeljenih v členu 6(1) SUVP.

105.

Glede na navedeno Sodišču predlagam, naj na vprašanja za predhodno odločanje, ki jih je postavilo Verwaltungsgericht Wiesbaden (upravno sodišče v Wiesbadnu, Nemčija), odgovori: