Zadeva C‑634/21

proti

Land Hessen

(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Verwaltungsgericht Wiesbaden)

Sodba Sodišča (prvi senat) z dne 7. decembra 2023

„Predhodno odločanje – Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba (EU) 2016/679 – Člen 22 – Avtomatizirana posamezna odločitev – Agencije za kreditne informacije – Avtomatizirana izdelava verjetnostne ocene o sposobnosti osebe, da v prihodnje izpolni plačilne obveznosti (kreditno točkovanje) – Uporaba te verjetnostne ocene s strani tretjih oseb“

Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pravna sredstva – Pravno sredstvo zoper odločitev o pritožbi, ki jo je sprejel nadzorni organ – Sodni nadzor – Obseg – Meje – Neobstoj

(Uredba 2016/679 Evropskega parlamenta in Sveta, člen 78(1))

(Glej točko 34.)
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pravica posameznika, na katerega se nanašajo osebni podatki, da zanj ne velja odločitev, ki temelji izključno na avtomatizirani obdelavi – Avtomatizirana posamezna odločitev – Pojem – Avtomatizirana izdelava verjetnostne ocene o plačilni sposobnosti osebe s strani agencije za kreditne informacije, ki jo uporabijo tretje osebe – Vključitev – Pogoji

(Uredba 2016/679 Evropskega parlamenta in Sveta, uvodna izjava 71 ter člena 4, točka 4, in 22(1))

(Glej točke 43, od 46 do 50, od 60 do 63 in 73 ter izrek.)
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pravica posameznika, na katerega se nanašajo osebni podatki, da zanj ne velja odločitev, ki temelji izključno na avtomatizirani obdelavi – Izjeme – Sprejetje odločitve, ki temelji izključno na avtomatizirani obdelavi, ki je dovoljena s pravom države članice – Obveznost spoštovanja pogojev in zahtev, določenih z navedeno uredbo – Preverjanje, ki ga mora opraviti nacionalno sodišče

(Uredba 2016/679 Evropskega parlamenta in Sveta, uvodna izjava 71 ter členi 5, 6 in 22, od (2) do (4))

(Glej točke od 53 do 55, 64, od 67 do 70 in 72.)

Povzetek

SCHUFA Holding AG je zasebna družba nemškega prava, ki svojim pogodbenim partnerjem zagotavlja informacije o plačilni sposobnosti oseb. V ta namen na podlagi določenih značilnosti osebe na podlagi matematično-statističnih postopkov za vsako zadevno osebo izdela vrednost (kreditno točkovanje). Izdelava vrednosti kreditnega točkovanja je namenjena predvidevanju prihodnjega vedenja osebe, kot je vračilo posojila, na podlagi njene uvrstitve v skupino drugih oseb z določenimi podobnimi značilnostmi.

Kreditna institucija osebi OQ po tem, ko je družba SCHUFA podala negativne informacije glede te osebe in jih posredovala tej kreditni instituciji, ni dala posojila. Oseba OQ je od družbe SCHUFA zahtevala, naj ji omogoči dostop do podatkov, ki se nanašajo nanjo, in izbriše domnevno napačne podatke. Vendar ji je družba SCHUFA sporočila le vrednost njenega kreditnega točkovanja in na splošno delovanje izračuna te vrednosti, v preostalem pa se je sklicevala na poslovno skrivnost.

Oseba OQ je nato proti družbi SCHUFA vložila pritožbo pri nemškem nadzornem organu HBDI ( 1 ), ki jo je ta zavrnil z obrazložitvijo, da je bila dejavnost družbe SCHUFA skladna z nemško zakonodajo, ki ureja načine uporabe verjetnostne ocene o plačilni sposobnosti ( 2 ).

Verwaltungsgericht Wiesbaden (upravno sodišče v Wiesbadnu, Nemčija), pri katerem je oseba OQ vložila tožbo zoper odločbo HBDI, je Sodišče vprašalo o razlagi določb SUVP ( 3 ) v zvezi s pravico posameznika, na katerega se nanašajo osebni podatki, da zanj ne velja odločitev, ki temelji izključno na avtomatizirani obdelavi, vključno z oblikovanjem profilov ( 4 ).

Sodišče je v sodbi prvič razložilo določbe SUVP, ki se nanašajo na občutljivo področje odločitev, ki temeljijo izključno na avtomatizirani obdelavi podatkov. V tem okviru se je izreklo o vprašanju, ali avtomatizirana izdelava verjetnostne ocene o plačilni sposobnosti osebe s strani agencije za kreditne informacije pomeni avtomatizirano posamezno odločitev in tako spada na področje uporabe teh določb.

Presoja Sodišča

Sodišče je najprej ugotovilo, da so v obravnavanem primeru izpolnjeni trije kumulativni pogoji za uporabo določb SUVP, ki urejajo pravico osebe, da zanjo ne velja odločitev, ki temelji izključno na avtomatizirani obdelavi, vključno z oblikovanjem profilov.

V zvezi s prvim pogojem, ki se nanaša na obstoj odločitve, je Sodišče pojasnilo, da ima pojem „odločitev“ širok obseg in lahko zajema rezultat izračuna plačilne sposobnosti osebe v obliki verjetnostne ocene v zvezi z zmožnostjo te osebe, da v prihodnje izpolni plačilne obveznosti.

Glede drugega pogoja, v skladu s katerim mora odločitev „temelji[ti] zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov“, po mnenju Sodišča ni sporno, da dejavnost zadevne družbe ustreza opredelitvi „oblikovanja profilov“ ( 5 ) in da je torej ta pogoj v obravnavanem primeru izpolnjen. Poleg tega je predložitveno sodišče izrecno navedlo, da je predmet vprašanja avtomatizirana izdelava verjetnostne ocene, ki temelji na osebnih podatkih v zvezi z osebo in se nanaša na njeno sposobnost, da v prihodnje izpolni plačilne obveznosti.

V zvezi s tretjim pogojem, da mora odločba imeti „pravne učinke“ v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali „na podoben način nanj znatno“ vplivati, je Sodišče poudarilo, da je v obravnavanem primeru ravnanje tretje osebe, ki se ji posreduje verjetnostna ocena, „v bistvenem odvisno“ od te ocene. Nezadostna verjetnostna ocena namreč skoraj vedno povzroči zavrnitev odobritve posojila. Tako ima ta ocena vsaj učinke, ki znatno vplivajo na posameznika, na katerega se nanašajo osebni podatki.

Sodišče je na podlagi tega ugotovilo, da je treba, če ima verjetnostna ocena, ki jo izdela agencija za kreditne informacije in je posredovana banki, odločilno vlogo pri odobritvi kredita, izdelavo te ocene samo po sebi opredeliti kot odločitev, ki ima za posameznika, na katerega se nanašajo osebni podatki, „pravne učinke v zvezi z njim ali na podoben način nanj znatno vpliva“ ( 6 ).

Dalje, Sodišče je poudarilo, da se s to razlago in predvsem s širokim obsegom pojma „odločitev“ krepi učinkovito varstvo iz SUVP. Nasprotno pa bi ozka razlaga, v skladu s katero je treba izdelavo verjetnostne ocene šteti le za pripravljalni akt, pri čemer je le akt, ki ga sprejme tretja oseba, po potrebi mogoče opredeliti kot „odločitev“, povzročila praznino v pravnem varstvu. V tem primeru namreč izdelava take ocene ne bi izpolnjevala posebnih zahtev iz SUVP ( 7 ), čeprav ta postopek temelji na avtomatizirani obdelavi in ima učinke, ki znatno vplivajo na posameznika, na katerega se nanašajo osebni podatki, ker je ravnanje tretje osebe, ki se ji ta verjetnostna ocena posreduje, v bistvenem odvisno od te ocene.

Poleg tega na eni strani posameznik, na katerega se nanašajo osebni podatki, pri agenciji za kreditne informacije, ki izdela verjetnostno oceno v zvezi z njim, ne more uveljavljati svoje pravice do dostopa do posebnih informacij ( 8 ), če ta družba ne sprejme avtomatizirane odločitve. Na drugi strani, tudi če bi se domnevalo, da akt, ki ga sprejme tretja oseba, spada na področje uporabe določb SUVP, ki se nanašajo na pravico posameznika, na katerega se nanašajo osebni podatki, da zanj ne velja odločitev, ki temelji izključno na avtomatizirani obdelavi, ta tretja oseba ne bi mogla predložiti teh posebnih informacij, ker jih običajno nima.

Nazadnje, Sodišče je ugotovilo, da dejstvo, da je izdelava verjetnostne ocene zajeta z določbami SUVP, ki urejajo pravico osebe, da zanjo ne velja odločitev, ki temelji izključno na avtomatizirani obdelavi, pomeni, da je ta izdelava prepovedana, razen če se uporabi ena od izjem in če so izpolnjene posebne zahteve iz SUVP.

Poleg tega mora biti vsaka obdelava osebnih podatkov na eni strani skladna z načeli v zvezi z obdelavo podatkov iz SUVP, na drugi strani pa mora ob upoštevanju zlasti načela zakonitosti obdelave izpolnjevati enega od pogojev za zakonitost obdelave.

V tem okviru je Sodišče navedlo, da se predložitveno sodišče sklicuje na izjemo, v skladu s katero je sprejetje odločitve, ki temelji izključno na avtomatizirani obdelavi, mogoče dovoliti, če to določa pravo države članice. V zvezi s tem je pojasnilo, da mora to sodišče preveriti, ali je mogoče nacionalno zakonodajo, ki ureja načine uporabe verjetnostne ocene o plačilni sposobnost, opredeliti kot pravno podlago, ki omogoča sprejetje take odločitve, in če je odgovor pritrdilen, ali so v obravnavanem primeru izpolnjeni pogoji za to izjemo in pogoji v zvezi z načeli, ki se uporabljajo za obdelavo, iz SUVP.

( 1 ) Hessischer Beauftragter für Datenschutz und Informationsfreiheit (pooblaščenec za varstvo podatkov in svobodo obveščanja zvezne dežele Hessen, Nemčija).

( 2 ) Člen 31 Bundesdatenschutzgesetz (zvezni zakon o varstvu podatkov) z dne 30. junija 2017 (BGBl. I, str. 2097).

( 3 ) Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, in popravek v UL 2018, L 127, str. 2; v nadaljevanju: SUVP).

( 4 ) Člen 22 SUVP.

( 5 ) V smislu člena 4, točka 4, SUVP.

( 6 ) V smislu člena 22(1) SUVP.

( 7 ) Iz člena 22, od (2) do (4), SUVP. Iz teh določb izhaja, da so za prepoved posamezne odločitve, ki temelji izključno na avtomatizirani obdelavi, določene tri izjeme, za katere veljajo dodatni zaščitni ukrepi. Tako je taka odločitev dovoljena, če je nujna za sklenitev ali izvajanje pogodbe med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem podatkov, če je dovoljena v pravu Unije ali pravu države članice, ki velja za upravljavca, ali če je utemeljena z izrecno privolitvijo posameznika, na katerega se nanašajo osebni podatki, pod pogojem, da se izvajajo ustrezni ukrepi za zaščito pravic in svoboščin ter zakonitih interesov posameznika, na katerega se nanašajo osebni podatki.

( 8 ) Iz člena 15(1)(h) SUVP, ki v primeru avtomatiziranega sprejetja odločitve posamezniku, na katerega se nanašajo osebni podatki, daje široko pravico do dostopa.