förslag till avgörande av generaladvokat Pikamäe – Förenade målen C‑26/22 och C‑64/22 SCHUFA Holding m.fl. (Skuldsanering)
I. Inledning
1. Förevarande begäranden om förhandsavgörande från Verwaltungsgericht Wiesbaden (Förvaltningsdomstolen i Wiesbaden, Tyskland) som har framställts med stöd av artikel 267 FEUF avser tolkningen av artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) och artikel 6.1 första stycket f, artikel 17.1 d, artikel 40, artikel 77.1 och artikel 78.1 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (nedan kallad dataskyddsförordningen).
2. Begärandena har framställts i mål mellan UF (mål C‑26/22) respektive AB (mål C‑64/22) och Land Hessen (delstaten Hessen, Tyskland), företrädd av Hessischer Beauftragter für Datenschutz und Informationsfreiheit (ombud för dataskydd och informationsfrihet för delstaten Hessen) (nedan kallad HBDI). Tvisterna rör de ansökningar som har lämnats in av UF respektive AB vid HBDI med yrkande om att HBDI ska verka för att registreringen av skuldsanering hos SCHUFA Holding AG (nedan kallat SCHUFA) ska raderas.
3. De två målen ger upphov till en rad nya rättsfrågor som, bland annat, avser den rättsliga karaktären av det beslut som fattats av den tillsynsmyndighet som mottagit ett klagomål samt omfattningen av den domstolsprövning som en domstol kan göra inom ramen för en talan mot ett sådant beslut. Målen rör också frågan om det är lagligt att kreditupplysningsföretag lagrar personuppgifter från offentliga register.
II. Tillämpliga bestämmelser
A. Unionsrätt
1. Förordning (EU) 2015/848
4. I artikel 79.4 och 79.5 i Europaparlamentets och rådets förordning (EU) 2015/848 av den 20 maj 2015 om insolvensförfaranden föreskrivs följande:
”4. Medlemsstaterna ska enligt [Europaparlamentets och rådets] direktiv 95/46/EG [av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31)] ansvara för insamling och lagring av uppgifter i nationella databaser och för beslut om att göra sådana uppgifter tillgängliga i det sammankopplade register som kan konsulteras via den europeiska e-juridikportalen.
5. Som del av den information som bör tillhandahållas de registrerade för att de ska kunna utöva sina rättigheter, och särskilt rätten till radering av uppgifter, ska medlemsstaterna informera de registrerade om den fastställda tidsperiod då personuppgifter som lagrats i insolvensregister är tillgängliga.”
2. Dataskyddsförordningen
5. I artikel 5.1 i dataskyddsförordningen föreskrivs följande:
”Vid behandling av personuppgifter ska följande gälla:
…
b) De ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. … (ändamålsbegränsning).
…”
6. I artikel 6.1 i denna förordning föreskrivs följande:
”Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:
…
f) Behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, ….
…”
7. I artikel 17.1 i dataskyddsförordningen anges följande:
”Den registrerade ska ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade och den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter om något av följande gäller:
…
c) Den registrerade invänder mot behandlingen i enlighet med artikel 21.1 och det saknas berättigade skäl för behandlingen som väger tyngre, eller den registrerade invänder mot behandlingen i enlighet med artikel 21.2.
d) Personuppgifterna har behandlats på olagligt sätt.
…”
8. I artikel 21.1 i förordningen anges följande:
”Den registrerade ska, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e eller f, inbegripet profilering som grundar sig på dessa bestämmelser. Den personuppgiftsansvarige får inte längre behandla personuppgifterna såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk.”
9. I artikel 40 i nämnda förordning föreskrivs följande:
”1. Medlemsstaterna, tillsynsmyndigheterna, styrelsen och kommissionen ska uppmuntra utarbetandet av uppförandekoder avsedda att bidra till att denna förordning genomförs korrekt, med hänsyn till särdragen hos de olika sektorer där behandling sker, och de särskilda behoven hos mikroföretag samt små och medelstora företag.
2. Sammanslutningar och andra organ som företräder kategorier av personuppgiftsansvariga eller personuppgiftsbiträden får utarbeta uppförandekoder, eller ändra eller utöka sådana koder, i syfte att specificera tillämpningen av denna förordning, till exempel när det gäller
a) rättvis och öppen behandling,
b) personuppgiftsansvarigas berättigade intressen i särskilda sammanhang,
c) insamling av personuppgifter,
…
5. Sammanslutningar och andra organ som avses i punkt 2 i den här artikeln som avser att utarbeta en uppförandekod eller ändra eller utöka befintliga uppförandekoder ska inge utkastet till uppförandekod, ändringen eller utökningen till den tillsynsmyndighet som är behörig enligt artikel 55. Tillsynsmyndigheten ska yttra sig om huruvida utkastet till uppförandekod, ändring eller utökning överensstämmer med denna förordning och ska godkänna ett det utkastet till kod, ändring eller utökning om den finner att tillräckliga garantier tillhandahålls.
…”
10. I artikel 77.1 i dataskyddsförordningen föreskrivs följande:
”Utan att det påverkar något annat administrativt prövningsförfarande eller rättsmedel, ska varje registrerad som anser att behandlingen av personuppgifter som avser henne eller honom strider mot denna förordning ha rätt att lämna in ett klagomål till en tillsynsmyndighet, särskilt i den medlemsstat där han eller hon har sin hemvist eller sin arbetsplats eller där det påstådda intrånget begicks.”
11. I artikel 78 i denna förordning anges följande:
”1. Utan att det påverkar något annat administrativt prövningsförfarande eller prövningsförfarande utanför domstol ska varje fysisk eller juridisk person ha rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut rörande dem som meddelats av en tillsynsmyndighet.
2. Utan att det påverkar något annat administrativt prövningsförfarande eller prövningsförfarande utanför domstol, ska varje registrerad person ha rätt till ett effektivt rättsmedel om den tillsynsmyndighet som är behörig i enlighet med artiklarna 55 och 56 underlåter att behandla ett klagomål eller att informera den registrerade inom tre månader om hur det fortskrider med det klagomål som ingetts med stöd av artikel 77 eller vilket beslut som har fattats med anledning av det.
…”
B. Tysk rätt
12. I 9 § i Insolvenzordnung (konkurslagen), i den lydelse som gällde vid tidpunkten för det aktuella målet, föreskrivs följande i punkt 1:
”Det offentliga tillkännagivandet sker genom ett centralt och gränsöverskridande tillkännagivande på internet. Detta kan ske i form av utdrag. Gäldenären ska härvid anges exakt, och i synnerhet ska hans eller hennes adress och verksamhetsgren anges. Tillkännagivandet ska anses ha ägt rum så snart som det har gått ytterligare två dagar räknat från dagen för offentliggörandet.”
13. I 3 § i Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (förordningen om offentliga tillkännagivanden på internet i insolvensförfaranden) (nedan kallad InsBekV) föreskrivs följande i styckena 1 och 2:
”1). Tillkännagivandet i ett elektroniskt informations- och kommunikationssystem av uppgifter från ett insolvensförfarande, inbegripet förfarandet för inledande av detta, ska raderas senast sex månader efter det att insolvensförfarandet har avslutats eller en avskrivning av detta har vunnit laga kraft. Om förfarandet inte inleds börjar fristen löpa när de offentliggjorda säkerhetsåtgärderna upphävs.
2). För tillkännagivanden i samband med skuldsanering inbegripet beslutet enligt 289 § i konkurslagen gäller stycke 1 första meningen med föreskriften att fristen ska börja löpa när beslutet om skuldsanering vinner laga kraft.”
III. Bakgrunden, det nationella förfarandet och tolkningsfrågorna
14. Inom ramen för de insolvensförfaranden som avser UF och AB har klagandena beviljats skuldsanering genom domstolsavgöranden som meddelades den 17 december 2020 respektive den 23 mars 2021. Enligt 9 § 1 i konkurslagen och 3 § 1 och 3 § 2 InsBekV offentliggjordes denna omständighet officiellt på Internet, och raderades efter sex månader.
15. SCHUFA, ett privat kreditupplysningsföretag, registrerar offentliggjord information om skuldsanering i sina egna databaser, men raderar den inte förrän tre år efter registreringen.
16. Efter att ha blivit ombedd av UF respektive AB som begärt att registreringarna avseende dem skulle raderas underrättade SCHUFA dem om att dess verksamhet var förenlig med dataskyddsförordningen och att den frist på sex månader för radering som föreskrivs i 3 § 1 InsBekV inte var tillämplig på företaget. UF och AB framställde därefter var sitt klagomål till HBDI som behörig tillsynsmyndighet.
17. HBDI fattade beslut om dessa klagomål genom två beslut av den 1 mars 2021 respektive den 9 juli 2021. Enligt HBDI har SCHUFA rätt att lagra negativa uppgifter efter den period som omfattas av skuldsanering.
18. Såväl UF som AB överklagade HBDI:s beslut till Verwaltungsgericht Wiesbaden (förvaltningsdomstol i Wiesbaden), den hänskjutande domstolen. De har i detta avseende gjort gällande att HBDI, inom ramen för sina skyldigheter och befogenheter är skyldigt att vidta åtgärder mot SCHUFA för att verkställa en radering av uppgifter avseende dem.
19. I detta avseende anser den hänskjutande domstolen att det för det första är nödvändigt att klargöra den rättsliga karaktären av det beslut som tillsynsmyndigheten fattar med anledning av ett klagomål som lämnats in med stöd av artikel 77.1 i dataskyddsförordningen. Den hänskjutande domstolen har angett att den rätt som föreskrivs i artikel 77.1 enligt HBDI:s uppfattning är utformad som en rätt att göra framställningar. Den kan således endast bli föremål för en begränsad domstolsprövning, som är begränsad till att pröva om tillsynsmyndigheten har behandlat klagomålet och underrättat klaganden om hur arbetet med klagomålet fortskrider eller om dess resultat. Den berörda domstolen ska däremot inte pröva huruvida det beslut som meddelats med anledning av klagomålet är riktigt i sak.
20. Den hänskjutande domstolen tvivlar emellertid på att denna bedömning är förenlig med dataskyddsförordningen. Den anser att det enligt artikel 78.1 i denna förordning krävs ett effektivt rättsmedel. Mot bakgrund av det mål som eftersträvas med denna förordning, nämligen att, inom ramen för genomförandet av artiklarna 7 och 8 i stadgan, säkerställa ett effektivt skydd av fysiska personers grundläggande fri- och rättigheter, kan behandlingen av rätten till klagomål inte tolkas restriktivt. Den hänskjutande domstolen är därför benägen att göra en tolkning enligt vilken det beslut i sak som fattas av tillsynsmyndigheten är underställt domstolens fulla prövning, varvid det dock bör beaktas att denna myndighet både har ett utrymme för skönsmässig bedömning och skönsmässig befogenhet och att den endast kan åläggas att agera när lagliga alternativ inte kan identifieras.
21. För det andra vill den hänskjutande domstolen få klarhet i huruvida det är lagligt att hos kreditupplysningsföretag lagra uppgifter från offentliga register. Den hänskjutande domstolen har i detta avseende preciserat att kreditupplysningsföretagen får samtliga registreringar i de offentliga registren, i det nu aktuella fallet gäldenärsregistren och konkursregistren, från staten. Dessa personuppgifter kan enligt HBDI användas för att bedöma kreditvärdigheten och de får lagras så länge som det är nödvändigt för de ändamål för vilka de har lagrats. Eftersom den nationella lagstiftaren inte har föreskrivit några bestämmelser, har uppförandekoder antagits av tillsynsmyndigheterna i samråd med den sammanslutning som företräder kreditupplysningsföretag. I dessa uppförandekoder föreskrivs att uppgifterna ska raderas exakt tre år efter det att de införts i registret.
22. Enligt den hänskjutande domstolen uppkommer, mot bakgrund av artiklarna 7 och 8 i stadgan, frågan huruvida registreringarna i de offentliga registren kan överföras på samma sätt i privata register, utan att lagring av uppgifter sker vid ett specifikt tillfälle. Det rör sig i slutändan om en lagring av uppgifter under en längre tid, framför allt när uppgifterna i det nationella registret redan har raderats på grund av att den föreskriva lagringstiden har löpt ut. Dessutom är SCHUFA bara ett av flera kreditupplysningsföretag, vilket innebär att uppgifterna lagras i Tyskland på flera olika sätt, vilket innebär en massiv kränkning av den grundläggande rättighet som fastställs i artikel 7 i stadgan.
23. Den hänskjutande domstolen har tillagt att en behandling, och således en lagring av uppgifter, endast är tillåten om ett av villkoren i artikel 6.1 i dataskyddsförordningen är uppfyllt. I förevarande fall är det endast artikel 6.1 första stycket f i denna förordning som ska beaktas. Det är emellertid tveksamt om en personuppgiftsansvarig som SCHUFA har ett berättigat intresse i den mening som avses i den bestämmelsen. En sökning i det offentliga registret är, om det finns ett berättigat intresse, under alla omständigheter möjlig för ett kreditupplysningsföretag så länge som uppgifterna lagras där.
24. I 3 § InsBekV föreskriver den tyska lagstiftaren dessutom bara en relativt kortvarig lagring i sex månader av en registrering i insolvensregistret av en skuldsanering. Denna bestämmelse har i sin tur sin grund i artikel 79.5 i förordning 2015/848, enligt vilken medlemsstaterna ska informera de registrerade om den fastställda tidsperiod då personuppgifter som lagrats i insolvensregister är tillgängliga, för att de ska kunna utöva sina rättigheter, och särskilt rätten till radering av uppgifter. Denna rättighet går inte att utöva om uppgifter lagras i ett stort antal privata register där uppgifterna sedan lagras längre tid.
25. Även om det skulle medges att lagring av uppgifter från offentliga register hos privata kreditupplysningsföretag är laglig, kan man för övrigt fråga sig om de uppförandekoder som godkänts i enlighet med artikel 40 dataskyddsförordningen, i vilka det föreskrivs en frist på tre år för radering av uppgifter om skuldsanering, ska beaktas vid den avvägning som krävs enligt artikel 6.1 första stycket f i dataskyddsförordningen.
26. Mot denna bakgrund beslutade Verwaltungsgericht Wiesbaden (Förvaltningsdomstolen i Wiesbaden) att vilandeförklara målet och att ställa följande tolkningsfrågor till EU-domstolen:
”1) Ska artikel 77.1 jämförd med artikel 78.1 i [dataskyddsförordningen], tolkas på så sätt att tillsynsmyndighetens slutsats, vilket denna ska meddela den berörda personen,
a) har karaktären av ett svar på en framställning, vilket får till följd att domstolsprövningen av en tillsynsmyndighets beslut om ett klagomål enligt 78.1 i den allmänna dataskyddsförordningen i princip begränsas till frågan huruvida myndigheten har behandlat klagomålet, gjort en lämplig undersökning av föremålet för klagomålet och underrättat klaganden om resultatet av prövningen, eller
b) ska det tolkas som ett myndighetsbeslut i sak, vilket får till följd att förvaltningsdomstolens kontroll av en tillsynsmyndighets avgörande beträffande ett klagomål kommer att omfatta en fullständig prövning enligt artikel 78.1 i den allmänna dataskyddsförordningen, varvid förvaltningsdomstolen i det enskilda fallet – till exempel när det skönsmässiga utrymmet är reducerat till noll – kan ålägga tillsynsmyndigheten att vidta en konkret åtgärd i den mening som avses i artikel 58 i den allmänna dataskyddsförordningen?
2) Är datalagring hos ett privat kreditupplysningsföretag, där personuppgifter från ett offentligt register, såsom de ”nationella databaserna” i den mening som avses i artikel 79.4 och 79.5 i [förordning 2015/848], lagras utan någon konkret anledning för att företaget ska kunna lämna en upplysning vid en förfrågan, förenlig med artiklarna 7 och 8 i [stadgan]?
3)
a) Är parallella privata databaser (särskilt ett kreditupplysningsföretags databaser), som upprättas vid sidan om de statliga databaserna och i vilka uppgifterna från de statliga databaserna (tillkännagivanden av insolvens i det nu aktuella fallet) lagras längre tid än inom de snäva ramar som föreskrivs i förordning [2015/848] jämförd med den nationella rätten, i princip tillåtna?
3)
b) Om fråga 3a besvaras jakande, följer det av rätten att bli bortglömd enligt artikel 17.1 d i dataskyddsförordningen att dessa uppgifter måste raderas när den behandlingstid som föreskrivs för det offentliga registret har löpt ut?
4) Om artikel 6.1 första stycket led f i [dataskyddsförordningen] kommer i fråga som enda rättslig grund för datalagring hos privata kreditupplysningsföretag när det gäller de uppgifter som också lagras i offentliga register, ska det då anses att ett kreditupplysningsföretag har ett berättigat intresse redan när detta kreditupplysningsföretag utan konkret anledning övertar uppgifterna från det offentliga registret, för att dessa uppgifter sedan ska kunna vara tillgängliga vid förfrågningar?
5) Får uppförandekoder som har godkänts av tillsynsmyndigheterna i enlighet med artikel 40 i [dataskyddsförordningen] och som föreskriver tidsfrister för prövning och radering som sträcker sig längre än lagringstiderna för offentliga register, medföra att den avvägning som föreskrivs i artikel 6.1 första stycket led f i [dataskyddsförordningen] inte längre behöver göras?”
IV. Förfarandet vid domstolen
27. Beslutet om hänskjutande i mål C‑26/22, daterat den 23 december 2021, inkom till domstolens kansli den 11 januari 2022. Beslutet om hänskjutande i mål C‑64/22, daterat den 31 januari 2022, inkom till domstolens kansli den 2 februari 2022.
28. Domstolen beslutade den 11 februari 2022 att förena målen vad gäller det skriftliga och muntliga förfarandet samt domen.
29. Parterna i det nationella målet, SCHUFA, den tyska och den portugisiska regeringen samt Europeiska kommissionen har inkommit med skriftliga yttranden inom den frist som föreskrivs i artikel 23 i stadgan för Europeiska unionens domstol.
30. Vid förhandlingen den 26 januari 2023 framförde ombuden för parterna i de nationella målen, SCHUFA och företrädarna för kommissionen sina synpunkter muntligen.
V. Rättslig bedömning
A. Inledande anmärkningar
31. Eftersom ömsesidigt förtroende är grunden för alla avtalsmässiga åtaganden i en marknadsekonomi är det utifrån ett entreprenörsmässigt perspektiv i princip förståeligt att leverantörer av tjänster och varor önskar få kännedom om sina kunder och de risker som är förknippade med ett sådant avtalsmässigt åtagande. Kreditupplysningsföretag kan bidra till att skapa detta ömsesidiga förtroende genom statistiska metoder som gör det möjligt för företag att fastställa om vissa relevanta kriterier, inklusive kundernas betalningsförmåga, är uppfyllda i det aktuella fallet. Därigenom hjälper de företagen att följa olika unionsrättsliga bestämmelser som just ålägger dem en sådan skyldighet för vissa kategorier av avtal, särskilt kreditavtal. Dessa företag är dock inte de enda som tillhandahåller sådana tjänster. Unionslagstiftaren var medveten om behovet av att säkerställa en viss öppenhet och förutsebarhet i finansiella transaktioner och krävde därför att medlemsstaterna skulle upprätta och föra ett eller flera register där information om insolvensförfaranden offentliggörs.
32. Av detta följer att flera databaser kommer att existera parallellt, nämligen, å ena sidan, de ”officiella” register som förs av offentliga myndigheter och, å andra sidan, databaser som förvaltas av privata bolag. Denna parallellitet kan leda till konkurrens mellan systemen och till och med till rättsliga konflikter om de rättssystem som registren omfattas av skiljer sig avsevärt från varandra. Skillnader i lagstiftningen kan bli särskilt problematiska om de påverkar skyddet av uppgifter, eftersom, oavsett vilken enhet, offentlig eller privat, som för registret måste den respektera de registrerades intresse av hur dessa uppgifter förs och registreras. Uppgifter om en persons ekonomiska situation kännetecknas av att de är särskilt känsliga när det gäller respekten för rätten till skydd av personuppgifter och privatlivet, och därför måste särskild vaksamhet iakttas.
33. I och med dataskyddsförordningen, som är tillämplig sedan den 25 maj 2018, har det inrättats en rättslig ram som syftar till att beakta ovannämnda intressen i hela unionen, bland annat genom att slå fast vissa begränsningar för behandlingen av personuppgifter. Enligt artikel 6.1 f i dataskyddsförordningen är behandlingen nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter. Med andra ord måste lagligheten av behandlingen vara ett resultat av en avvägning av de olika intressen som står på spel, varvid de berättigade intressen som en personuppgiftsansvarig eller en tredje part har måste väga tyngre. Det ankommer på tillsynsmyndigheten, som enligt artikel 77.1 i dataskyddsförordningen, ska pröva eventuella klagomål från den registrerade om åsidosättande av vederbörandes grundläggande rättigheter, att pröva om dessa villkor är uppfyllda. Om denna person slutligen beslutar att överklaga tillsynsmyndighetens beslut, i enlighet med artikel 78.1 i dataskyddsförordningen, ankommer det på de nationella domstolarna att säkerställa en effektiv domstolsprövning.
34. I ovanstående punkter sammanfattas kortfattat de olika rättsliga frågor som den hänskjutande domstolen har tagit upp i sin begäran om förhandsavgörande. Den första frågan avser den rättsliga karaktären av ett beslut som fattats av den tillsynsmyndighet som mottagit ett klagomål samt omfattningen av den domstolsprövning som domstolen kan göra inom ramen för ett överklagande av ett sådant beslut. Den andra till den femte frågan avser i huvudsak huruvida det är lagligt att hos kreditupplysningsföretag lagra personuppgifter från offentliga register. Tolkningsfrågorna prövas nedan i den ordning de ställts av den hänskjutande domstolen.
B. Den första tolkningsfrågan
35. Eftersom den första frågan avser de två etapperna i det administrativa förfarandet, det vill säga klagomål till tillsynsmyndigheten och överklagande till en rättslig myndighet, vilka regleras i artikel 77 respektive artikel 78 i dataskyddsförordningen, anser jag det lämpligt att kortfattat beskriva dessa båda etapper och därigenom ta upp de rättsliga frågor som den hänskjutande domstolen vill få klarhet i.
36. Som jag har angett i mina inledande anmärkningar syftar dataskyddsförordningen till att säkerställa skyddet för fysiska personer med avseende på behandling av personuppgifter, vilket erkänns som en grundläggande rättighet i artikel 8.1 i stadgan och i artikel 16.1 FEUF. Eftersom all behandling av personuppgifter kan påverka privatlivet måste även det skydd som garanteras i artikel 7 i stadgan nämnas. Vidare följer det av artikel 1.2 i dataskyddsförordningen, jämförd med skälen 10, 11 och 13 i den förordningen, att unionslagstiftaren anförtror denna uppgift åt unionens organ och byråer, men också åt medlemsstaternas behöriga myndigheter, bland vilka tillsynsmyndigheter och nationella domstolar ingår.
1. Tillsynsmyndigheternas roll, däribland skyldigheten att pröva klagomål
37. Det bör i detta avseende noteras att det i artikel 8.3 i stadgan föreskrivs att en oberoende myndighet ska kontrollera att bestämmelserna om skydd av personuppgifter iakttas. Denna skyldighet som härrör från primärlagstiftningen genomförs genom artikel 57.1 a i dataskyddsförordningen genom att det föreskrivs att varje tillsynsmyndighet har till uppgift att kontrollera tillämpningen av denna förordning och se till att den följs. Utredning av klagomål som ingetts av en registrerad person ingår i dennes ansvar, vilket uttryckligen framgår av artikel 57.1 f i dataskyddsförordningen.
38. EU-domstolen har slagit fast att enligt denna bestämmelse ”är varje tillsynsmyndighet … skyldig att inom sitt territorium behandla klagomål som var och en enligt artikel 77.1 i [dataskydds]förordningen har rätt att inge när vederbörande anser att en behandling av personuppgifter som rör honom eller henne utgör ett åsidosättande av nämnda förordning, och i den utsträckning det är nödvändigt pröva syftet med behandlingen”. Det ska i detta sammanhang uppmärksammas att domstolen betonade tillsynsmyndighetens skyldighet att ”med vederbörlig omsorg utreda ett sådant klagomål ” för att säkerställa efterlevnaden av bestämmelserna i dataskyddsförordningen. På samma sätt bör det noteras att det i skäl 141 anges att ”[u]tredningen av ett klagomål bör … ske i den utsträckning som är lämplig i det enskilda fallet” (min kursivering).
39. Alla dessa omständigheter leder mig till åsikten att tillsynsmyndigheten har en tvingande skyldighet att utreda klagomål som ingetts av en registrerad och att detta ska göras med vederbörlig omsorg i förevarande mål. I den mån varje överträdelse av dataskyddsförordningen i princip kan utgöra ett åsidosättande av de grundläggande rättigheterna, anser jag att det är oförenligt med det system som inrättats genom denna förordning att ge tillsynsmyndigheten en skönsmässig befogenhet att besluta att utreda klagomål eller inte. Ett sådant tillvägagångssätt skulle ifrågasätta den avgörande roll som tillsynsmyndigheten har enligt dataskyddsförordningen när det gäller att säkerställa efterlevnaden av bestämmelserna om skydd av personuppgifter och skulle därför strida mot de mål som eftersträvas av unionslagstiftaren. I slutändan måste man komma ihåg att klagomål utgör en värdefull informationskälla för tillsynsmyndigheten som möjliggör för den att upptäcka överträdelser.
40. Denna tolkning är än mer övertygande då tillsynsmyndigheten enligt artikel 57.1 f i dataskyddsförordningen åläggs en rad krav vid hanteringen av ett sådant klagomål, nämligen skyldigheten att i den utsträckning som är nödvändig pröva föremålet för klagomålet, att inom skälig tid underrätta den som ingett klagomålet om hur arbetet med klagomålet fortskrider och vad resultatet blir, bland annat om ytterligare utredning eller samordning med en annan tillsynsmyndighet är nödvändig. Till detta kommer skyldigheten, som avses i artikel 77.2 i dataskyddsförordningen, att underrätta den som ingett klagomålet om hur arbetet med klagomålet fortskrider och vad resultatet blir, inbegripet om möjligheten till ett effektivt rättsmedel enligt artikel 78 i dataskyddsförordningen. Alla dessa krav, som omfattas av begreppet god förvaltningssed, som har kommit till uttryck i artikel 41 i stadgan vad specifikt gäller unionsinstitutionernas och unionsorganens verksamhet syftar till att förstärka förfarandet för klagomål i syfte att göra detta till ett verkligt administrativt överklagande.
41. Även om tillsynsmyndigheten, som en garant för att bestämmelserna i dataskyddsförordningen iakttas, är skyldig att hantera klagomål som inges till myndigheten, finns det flera omständigheter som talar för en tolkning som innebär att myndigheten förfogar över ett utrymme för skönsmässig bedömning vid prövningen av nämnda klagomål och ett visst handlingsutrymme när det gäller valet av lämpliga medel för att utföra sina uppgifter. Generaladvokaten Saugmandsgaard Øe har påpekat att enligt artikel 58.1 i dataskyddsförordningen ”tilldelas tillsynsmyndigheterna omfattande utredningsbefogenheter” och att de enligt artikel 58.2 i förordningen ”fogar … över en vid uppsättning medel … när det gäller att fullgöra den uppgift som den är ålagd”, med hänvisning i detta sammanhang till de olika korrigerande befogenheter som anges i denna bestämmelse. Generaladvokaten angav vidare att även om ”den behöriga tillsynsmyndigheten … är … skyldig att fullständigt fullgöra det tillsynsuppdrag som den har anförtrotts”, ”ankommer [det] på [den] att själv välja vilket medel som är effektivast mot bakgrund av samtliga omständigheter”. Jag kan bara ansluta mig till denna tolkning.
42. Den detaljerade beskrivningen av tillsynsmyndigheternas befogenhet att vidta korrigerande åtgärder visar att unionslagstiftaren inte har haft som mål att göra förfarandet för klagomål till ett förfarande som liknar förfarandet för en framställning. Tvärtom verkar lagstiftningens syfte ha varit att skapa en mekanism som effektivt kan skydda de rättigheter och intressen som de som inger klagomål har. Med detta sagt anser jag att det är uppenbart att detta handlingsutrymme inte kan tolkas så, att tillsynsmyndigheten har obegränsad befogenhet, som ger den befogenhet att agera på ett godtyckligt sätt. Kontrollmyndigheten är tvärtom skyldig att utöva detta handlingsutrymme med iakttagande av de gränser som föreskrivs i unionsrätten. Det är även av detta skäl som det inte kan uteslutas att tillsynsmyndigheten, i egenskap av förvaltningsorgan, blir tvungen att anta en viss åtgärd på grund av särskilda omständigheter i det enskilda fallet, särskilt när det finns en allvarlig risk för att den registrerade personens grundläggande rättigheter kränks.
43. Denna tolkning, som ger tillsynsmyndigheten ett visst handlingsutrymme vid valet av medel, stöds av artikel 58.4 i dataskyddsförordningen, där det föreskrivs att ”utövandet av de befogenheter som tillsynsmyndigheterna tilldelas enligt denna artikel ska omfattas av lämpliga skyddsåtgärder, inbegripet effektiva rättsmedel” (min kursivering) i enlighet med artikel 47 i stadgan. I artikel 78.1 och 78.2 i dataskyddsförordningen erkänns dessutom att varje person har rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut rörande vederbörande som meddelats av en tillsynsmyndighet eller när en tillsynsmyndighet underlåter att behandla ett klagomål från vederbörande.
44. Detta för mig till frågan om den rättsliga karaktären av de beslut som tillsynsmyndigheten fattat som den hänskjutande domstolen ställt i respektive begäran om förhandsavgörande. I detta avseende är det lämpligt att hänvisa till skäl 141 i dataskyddsförordningen, av vilket det följer att ”[a]lla registrerade bör ha rätt att lämna in ett klagomål till en … tillsynsmyndighet … och ha rätt till ett effektivt rättsmedel i enlighet med artikel 47 i stadgan, om den registrerade anser att hans eller hennes rättigheter enligt denna förordning har kränkts eller om tillsynsmyndigheten inte reagerar på ett klagomål, helt eller delvis avslår eller avvisar ett klagomål eller inte agerar när så är nödvändigt för att skydda den registrerades rättigheter” (min kursivering). I detta skäl beaktas det faktum att ett beslut av tillsynsmyndigheten kan gå den registrerade emot, särskilt om den drar slutsatsen att klagomålet är ogrundat, anser att det inte föreligger någon överträdelse av dataskyddsförordningen och därför inte vidtar åtgärder för att rätta till den situation som gav upphov till klagomålet. Unionslagstiftaren har erkänt att ett sådant beslut har bindande rättsverkningar och öppnar följaktligen ett rättsmedel vid en nationell domstol för den som ingett klagomålet.
45. Det ska även påpekas att det inte är tillåtet för tillsynsmyndigheten att inte agera, eftersom det framgår av artikel 78.2 i dataskyddsförordningen att ”[v]arje registrerad person [ska] ha rätt till ett effektivt rättsmedel om den tillsynsmyndighet som är behörig i enlighet med artiklarna 55 och 56 underlåter att behandla ett klagomål eller att informera den registrerade inom tre månader om hur det fortskrider med det klagomål som ingetts med stöd av artikel 77 eller vilket beslut som har fattats med anledning av det.” Denna omständighet innebär att det är förbjudet att likställa förfarandet för klagomål med förfarandet för en framställning.
46. I förevarande fall har tillsynsmyndigheten, såsom den hänskjutande domstolen har angett i besluten om hänskjutande, antagit rättsligt bindande beslut avseende klagandena i det nationella målet. Den har i huvudsak konstaterat att SCHUFA:s behandling av klagandenas personuppgifter var laglig enligt artikel 6.1 första stycket b och f i dataskyddsförordningen och har därför underförstått beslutat att inte vidta en undersökningsåtgärd eller en korrigerande åtgärd.
2. Omfattningen av domstolsprövningen av beslut som fattats av tillsynsmyndigheten
47. Det rättsmedel som föreskrivs i artikel 78 i dataskyddsförordningen är den andra etappen i det administrativa rättsmedel som föreskrivs i förordningen. Det ska i detta sammanhang påpekas att såväl ett ”klagomål” hos tillsynsmyndigheten som ett ”rättsmedel” har utformats som ”rättigheter” för den registrerade, vilket är fullt begripligt om man utgår från att artiklarna 77–79 i dataskyddsförordningen syftar till att genomföra rätten till ett effektivt rättsmedel, som stadfästs i artikel 47 i stadgan. Som jag redan har angett ovan framgår detta mål tydligt av artikel 58.4 jämförd med artikel 78 i dataskyddsförordningen, mot bakgrund av skäl 141 i den förordningen.
48. När det gäller omfattningen av domstolsprövningen av tillsynsmyndighetens beslut bör det erinras om att nationella bestämmelser om administrativa förfaranden i allmänhet är tillämpliga inom ramen för processuell autonomi, med förbehåll för likvärdighetsprincipen och effektivitetsprincipen. Jag anser emellertid att ett rättsmedel kan vara ”effektivt” i den mening som avses i artikel 47 i stadgan och artikel 78.1 i dataskyddsförordningen endast om den behöriga nationella domstolen har befogenhet och skyldighet att underställa tillsynsmyndighetens beslut i sak en fullständig rättslig prövning för att kontrollera om tillsynsmyndigheten har tillämpat dataskyddsförordningen korrekt.
49. Domstolen har i sin praxis slagit fast att ”[e]n lagstiftning i vilken det inte föreskrivs någon möjlighet för enskilda att använda rättsmedel för att erhålla tillgång till, rätta eller radera uppgifter som rör dem, respekterar inte det väsentliga innehållet i den grundläggande rätten till effektivt domstolsskydd, vilken är stadfäst i artikel 47 i Europeiska unionens stadga om de grundläggande rättigheterna. I artikel 47 första stycket i stadgan föreskrivs nämligen att var och en vars unionsrättsligt garanterade fri- och rättigheter har kränkts har rätt till ett effektivt rättsmedel inför en domstol, med beaktande av de villkor som föreskrivs i den artikeln. Möjligheten till en effektiv domstolsprövning i syfte att säkerställa iakttagandet av unionsrätten är härvidlag i sig en grundförutsättning för en rättsstat.”
50. För att fastställa omfattningen av domstolsprövningen av beslut som fattats av tillsynsmyndigheten är det enligt min mening relevant att först nämna skäl 141 i dataskyddsförordningen, av vilket det framgår att ”[u]tredningen av ett klagomål bör, med förbehåll för eventuell domstolsprövning, ske i den utsträckning som är lämplig i det enskilda fallet” (min kursivering). Vidare ska det hänvisas till skäl 143 i dataskyddsförordningen, i vilket det anges att ”varje fysisk eller juridisk person [bör] ha rätt till ett effektivt rättsmedel vid den behöriga nationella domstolen mot ett beslut av en tillsynsmyndighet som har rättsliga följder för denna person. Sådana beslut avser särskilt tillsynsmyndighetens utövande av utrednings-, korrigerings- och godkännandebefogenheter eller avvisande av eller avslag på klagomål” (min kursivering). Enligt min mening ska dessa avsnitt tolkas så, att den domstolsprövning som ska göras av den nationella domstolen enligt artikel 78 i dataskyddsförordningen måste vara fullständig, det vill säga omfatta alla relevanta aspekter som faller inom ramen för det utrymme för skönsmässig bedömning som tillsynsmyndigheten utövar inom ramen för prövningen av föremålet för ett klagomål, liksom dess utrymme för skönsmässig bedömning när det gäller valet av utredningsåtgärder och korrigerande befogenheter.
51. Unionslagstiftarens mål att säkerställa en fullständig domstolsprövning av alla beslut som fattats av en tillsynsmyndighet som har rättslig verkan gentemot den registrerade som har lämnat in ett klagomål till den blir särskilt tydligt om man tar hänsyn till ett annat avsnitt i skäl 143 i dataskyddsförordningen, där det anges att ”[t]alan mot beslut som har fattats av en tillsynsmyndighet bör väckas vid domstolarna i den medlemsstat där tillsynsmyndigheten har sitt säte och bör genomföras i enlighet med den medlemsstatens nationella processrätt. Dessa domstolar bör ha fullständig behörighet, vilket bör omfatta behörighet att pröva alla fakta och rättsliga frågor som rör den tvist som anhängiggjorts vid dem” (min kursivering). Jag anser att endast en domstolsprövning av en sådan omfattning uppfyller kraven i artikel 47 i stadgan.
52. Däremot är de argument som SCHUFA och HBDI har framfört som talar för en begränsad domstolsprövning av tillsynsmyndigheternas beslut enligt min mening inte övertygande. För det första syftar det ”oberoende” som tillerkänns tillsynsmyndigheten enligt artikel 52 i dataskyddsförordningen, som konkretiserar kravet i artikel 8.3 i stadgan, till att skydda denna myndighet från otillbörlig inblandning, men befriar den inte från skyldigheten att utföra sina uppgifter och utöva sina befogenheter i full överensstämmelse med unionsrätten och att underställa sina beslut en verksam domstolsprövning, liksom vilken annan nationell myndighet som helst. För det andra utesluter inte förekomsten av en rätt till domstolsprövning mot den personuppgiftsansvarige, vilken föreskrivs i artikel 79 i dataskyddsförordningen, rätten att överklaga ett beslut som tillsynsmyndigheten har fattat med stöd av artikel 78 i dataskyddsförordningen. Dessa rättsmedel existerar parallellt, utan att det ena är subsidiärt i förhållande till det andra, vilket innebär att de kan användas parallellt. Klagandena kan således inte klandras för att ha handlat rättsstridigt i försvaret av sina rättigheter som skyddas av dataskyddsförordningen på grund av att de privilegierat ett särskilt rättsmedel. Dessa argument kan följaktligen inte godtas.
53. Mot bakgrund av vad som anförts ovan ska den första tolkningsfrågan besvaras enligt följande. Artikel 78.1 i dataskyddsförordningen ska tolkas så, att det av denna bestämmelse följer att ett rättsligt bindande beslut som har fattats av en tillsynsmyndighet underställs en fullständig domstolsprövning i sak.
C. Den andra till den femte tolkningsfrågan
54. Den andra till den femte tolkningsfrågan rör i huvudsak frågan om lagring hos kreditupplysningsföretag av personuppgifter från offentliga register är laglig. De frågor som den hänskjutande domstolen har ställt väcker en rad rättsliga problem som hänger samman med denna praxis som ska granskas på ett strukturerat sätt. För tydlighetens skull anser jag det lämpligt att omgruppera frågorna efter ämne och att behandla dem i denna ordning.
55. För att ge den hänskjutande domstolen ett användbart svar, så att den kan avgöra det mål den har att pröva, kommer EU-domstolen att behöva tolka flera bestämmelser i dataskyddsförordningen som, även om de inte uttryckligen nämnts i frågorna, ändå förefaller vara relevanta. Ett sådant tillvägagångssätt är möjligt eftersom EU‑domstolen enligt fast rättspraxis utifrån samtliga uppgifter som den nationella domstolen har lämnat, och i synnerhet utifrån skälen i beslutet om hänskjutande, kan avgöra vilka bestämmelser och principer i unionsrätten som behöver tolkas med hänsyn till saken i det nationella målet.
56. En sådan ingående analys förefaller än mer nödvändig då den hänskjutande domstolen ibland endast hänvisar till artiklarna 7 och 8 i stadgan i sina frågor, även om dessa bestämmelser inte ska tillämpas för sig, vilket EU-domstolen redan har förklarat, utan ska beaktas inom ramen för den avvägning som föreskrivs i artikel 6.1 första stycket f i dataskyddsförordningen. Det ska dessutom i detta sammanhang erinras om att i den mån bestämmelserna i dataskyddsförordningen genomför de aktuella grundläggande rättigheterna är tolkningen av sekundärrätten logiskt sett utgångspunkten för varje tolkning, vilken ska läsas mot bakgrund av primärrätten, i vilken stadgan utgör en integrerad del. Jag kommer därför att inom ramen för bedömningen nedan ta med alla de bestämmelser som jag anser är relevanta.
1. Huruvida den praxis som tillämpas av kreditupplysningsföretagen är förenlig med principerna för behandling av personuppgifter i dataskyddsförordningen
57. I kapitel II i dataskyddsförordningen, med rubriken ”Principer”, fastställs principerna för behandling av personuppgifter. Jag kommer nedan att undersöka huruvida den praxis som tillämpas av kreditupplysningsföretagen som består i lagring av personuppgifter från offentliga register under en tidsperiod på tre år är förenlig med de principer som enligt min mening är mest relevanta i detta sammanhang, nämligen principerna om laglighet, ändamålsbegränsning och uppgiftsminimering.
58. Vid bedömningen kommer jag att stödja mig på de uppgifter som den hänskjutande domstolen och SCHUFA har lämnat, samtidigt som jag understryker att det ankommer på den sistnämnda, i egenskap av personuppgiftsansvarig, att visa att ovannämnda principer har iakttagits, i enlighet med ansvarsprincipen i artikel 5.2 i dataskyddsförordningen.
a) Överensstämmelse med principen om laglighet (artikel 6.1 första stycket f i dataskyddsförordningen)
59. Enligt artikel 5.1 a i dataskyddsförordningen ska personuppgifter behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. Enligt artikel 6.1 i dataskyddsförordningen är behandlingen av personuppgifter endast laglig om och i den mån som ett av de där angivna villkoren är uppfyllt. Såsom EU-domstolen har slagit fast rör det sig om en uttömmande och begränsande uppräkning av de fall där sådan behandling kan anses vara laglig. Den hänskjutande domstolen önskar få klarhet i huruvida artikel 6.1 första stycket f i dataskyddsförordningen tillåter ett privat kreditupplysningsföretag att lagra personuppgifter från offentliga register för att göra dessa uppgifter tillgängliga för en kund på begäran.
60. Enligt EU-domstolens praxis föreskrivs i artikel 6.1 första stycket f i dataskyddsförordningen tre kumulativa villkor för att personuppgiftsbehandling ska vara tillåten. För det första ska den personuppgiftsansvarige eller den eller de tredje parter till vilka uppgifterna har lämnats ut avse att skydda ett berättigat intresse. För det andra ska personuppgiftsbehandlingen vara nödvändig för att skydda det aktuella berättigade intresset. För det tredje ska den registrerades grundläggande fri- och rättigheter inte väga tyngre än nämnda berättigade intresse. Även om det ankommer på den hänskjutande domstolen att bedöma om dessa villkor är uppfyllda, ankommer det emellertid på EU-domstolen att vägleda den i denna bedömning genom att klargöra rättsfrågorna.
1) Förekomsten av ett ”berättigat intresse”
61. Vad för det första gäller förekomsten av ett ”berättigat intresse”, vill jag erinra om att dataskyddsförordningen och rättspraxis erkänner ett brett spektrum av intressen som anses berättigade, samtidigt som det preciseras att det enligt artikel 13.1 d i dataskyddsförordningen ankommer på den personuppgiftsansvarige att ange vilka berättigade intressen som eftersträvas inom ramen för artikel 6.1 första stycket f i dataskyddsförordningen.
62. SCHUFA har gjort gällande att den ifrågavarande behandlingen av uppgifter tjänar till att tillgodose berättigade intressen av stor betydelse. Närmare bestämt behandlar kreditupplysningsföretag de uppgifter som är nödvändiga för att bedöma personers eller företags kreditvärdighet, för att kunna göra denna information tillgänglig för sina avtalspartners. Detta skyddar även de ekonomiska intressena hos företag som önskar ingå avtal med anknytning till en kredit. Fastställandet av kreditvärdigheten och tillhandahållandet av information om kreditvärdigheten utgör dessutom grunden för krediten och ekonomins funktionsförmåga. Den verksamhet som dessa företag bedriver skulle också bidra till att uppfylla kommersiella önskemål från personer som är intresserade av transaktioner som rör krediter, eftersom upplysningarna skulle möjliggöra en snabb och obyråkratisk granskning.
63. Jag anser att det i princip inte finns något objektivt skäl för att betvivla att SCHUFA har ett berättigat intresse av att tillhandahålla sina kunder den ovan beskrivna kommersiella tjänsten och att SCHUFA:s kunder har ett intresse av att anlita dess tjänster för att bedöma de potentiella handelspartnernas kreditvärdighet i den mening som angetts ovan. Det stämmer visserligen att tillhandahållandet av denna typ av tjänster syftar till att erhålla ersättning och följaktligen utgör den ekonomiska modellen för ett privat företag, men denna omständighet är inte i sig tillräcklig för att ifrågasätta den omständigheten att det första villkoret i artikel 6.1 första stycket f i dataskyddsförordningen är uppfyllt i förevarande fall.
64. Detta gäller Framför allt eftersom det mål som eftersträvas av tjänsten i fråga i allt väsentligt liknar det mål som unionslagstiftaren ville uppnå genom att anta artikel 24 i förordning nr 2015/848, enligt vilken medlemsstaterna är skyldiga att inom sitt territorium upprätta och upprätthålla ett eller flera register där uppgifter om insolvensförfaranden offentliggörs. Såsom framgår av skäl 76 i den förordningen är syftet med dessa offentliga register att ”förbättra informationen till berörda borgenärer och domstolar och … förhindra att parallella insolvensförfaranden inleds”. Det förefaller mig som om den tjänst som SCHUFA erbjuder inte har något annat syfte. Frågan huruvida parallella system kan leda till rättsliga konflikter kommer att prövas längre fram. I detta skede av bedömningen räcker det att konstatera att den behandling av uppgifter som SCHUFA utför, med hänsyn till denna identiska målsättning, ska anses tjäna ett berättigat intresse i den mening som avses i artikel 6.1 första stycket f i dataskyddsordningen.
2) ”Nödvändigheten” av behandling för att det ska anses föreligga ett berättigat intresse
65. Vad gäller villkoret att behandlingen av personuppgifter ska vara nödvändig för att det ska anses föreligga ett berättigat intresset, ska undantag från och inskränkningar av principen om skydd av personuppgifter enligt EU-domstolens praxis begränsas till vad som är strängt nödvändigt. Det krävs således att det finns en nära koppling mellan behandlingen och det intresse som eftersträvas och att det saknas alternativ som i större utsträckning iakttar skyddet av personuppgifter, eftersom det inte är tillräckligt att behandlingen helt enkelt är till nytta för personuppgiftsansvarig.
66. Det ska i förevarande fall visas att hämtning av personuppgifter om insolvens från offentliga register och deras privata lagring utgör den enda möjligheten för SCHUFA att erbjuda sina kunder denna exakta information i kommersiellt syfte. Det kan inte uteslutas att SCHUFA har möjlighet att erbjuda kommersiella tjänster och tillhandahålla information om personers kreditvärdighet med hjälp av andra tillgängliga uppgifter. Det ankommer på den hänskjutande domstolen att pröva om denna möjlighet fortfarande skulle göra det möjligt för SCHUFA att på ett ändamålsenligt sätt erbjuda sina kunder denna kommersiella tjänst.
67. SCHUFA anser att behandlingen av uppgifter är nödvändig. Om ett kreditupplysningsföretag skulle vänta på en konkret begäran innan företaget började samla in uppgifterna, skulle det enligt SCHUFA vara omöjligt att lämna upplysningar i tid. SCHUFA anser att den omständigheten att uppgifterna (även) är tillgängliga för allmänheten under en viss tid inte har någon inverkan på kreditupplysningsföretagens berättigade intressen eller på nödvändigheten av behandlingen.
68. Om det inte vore nödvändigt att lagra personuppgifter från offentliga register för att möjliggöra för SCHUFA att erbjuda sina kunder sin kommersiella tjänst, skulle denna behandling inte vara laglig enligt artikel 6.1 första stycket f i dataskyddsförordningen. Om det andra villkoret i denna bestämmelse däremot är uppfyllt, måste den hänskjutande domstolen även pröva det tredje och sista kumulativa villkoret i nämnda bestämmelse.
3) Avvägning mellan de olika intressen som står på spel
69. När det slutligen gäller avvägningen mellan den personuppgiftsansvariges intressen och de registrerades grundläggande fri- och rättigheter, ankommer det enligt EU-domstolens praxis på den hänskjutande domstolen att göra en avvägning mellan de intressen som står på spel. I detta avseende anges i riktlinjerna från den tidigare artikel 29-arbetsgruppen, numera ”Europeiska dataskyddsstyrelsen”, vars uppgifter definieras i artikel 70 i dataskyddsförordningen, följande kriterier som ska beaktas vid denna avvägning: i) bedömningen av den personuppgiftsansvariges berättigade intresse, inverkan på de registrerade, ii) den preliminära bedömningen och iii) de ytterligare skyddsåtgärder som införts av den personuppgiftsansvarige för att förhindra omotiverade effekter för de registrerade. För att kunna göra en detaljerad och logisk bedömning föreslår jag att dessa kriterier ska tillämpas i de nationella målen. Ett sådant tillvägagångssätt kommer dessutom att bidra till en mer konsekvent tillämpning av dataskyddsförordningen, i enlighet med de mål som unionslagstiftaren eftersträvar.
i) Bedömning av den personuppgiftsansvariges ”berättigade intresse”
70. Vad beträffar det första kriteriet kan det konstateras att såväl SCHUFA:s som dess kunders intressen är av rent ekonomisk art. Privata företag lagrar personuppgifter som hämtats från offentliga register för att kunna erbjuda sina kunder den tjänst som består i att tillhandahålla information om den registrerades kreditvärdighet med hjälp av bland annat dessa uppgifter. Som jag redan har förklarat ovan förefaller ett sådant intresse vara berättigat vid denna bedömning.
ii) Behandlingens inverkan på de registrerade
71. När det gäller det andra kriteriet, det vill säga behandlingens inverkan på den registrerade, verkar fristen för radering vara den relevanta faktorn. Ju längre uppgifter lagras i den privata kreditupplysningsföretagens databaser, desto större blir konsekvenserna för den registrerade. I förevarande fall har personuppgifter avseende klagandena i det nationella målet behandlats i det offentliga registret för att ”förbättra informationen till berörda borgenärer och domstolar och för att förhindra att parallella insolvensförfaranden inleds”, såsom krävs enligt skäl 76 i förordning 2015/848. Vid avvägningen mellan de olika intressena ansåg den tyska lagstiftaren att den tidsperiod under vilken det för att uppnå detta mål var nödvändigt att offentliggöra uppgifter om ett insolvensförfarande i sådana offentliga register var sex månader. Lagringen av personuppgifter efter denna period på sex månader förefaller således, a priori, ha en betydande negativ inverkan på den registrerade.
72. Det framgår av EU-domstolens praxis att det finns andra faktorer som ska beaktas vid bedömningen, nämligen villkoren för tillgång till databaser och de möjligheter som erbjuds för att sprida personuppgifter. Enkelt uttryckt, ju mer lättillgänglig informationen är för allmänheten, desto allvarligare är ingreppet i den registrerades grundläggande rättigheter. Detta gäller särskilt när antalet användare som har tillgång till den registrerades uppgifter är betydande. Följaktligen är det enligt min uppfattning uppenbart att även om uppgifterna redan finns tillgängliga i offentliga register under dessa sex månader, har den omständigheten att uppgifterna lagras och finns tillgängliga parallellt i de privata kreditupplysningsföretagens databaser ytterligare en inverkan på den enskildes privatliv, som tillkommer utöver de negativa konsekvenserna av att dessa uppgifter finns tillgängliga i offentliga register.
73. En ytterligare faktor som ska beaktas vid bedömningen är den eventuella känsliga karaktären hos de aktuella uppgifterna. Det kan allmänt påstås att inverkan på den registrerade ökar beroende på hur känsliga personuppgifterna är. Det framgår av EU-domstolens praxis att personuppgifter som rör indrivning av fordringar i själva verket är uppgifter som är känsliga för den registrerades privatliv. Tillhandahållandet av sådana uppgifter till ett i princip obegränsat antal användare ska således anses utgöra ett avsevärt ingrepp i den personens grundläggande rättigheter.
74. Slutligen anser jag att det är nödvändigt att även beakta tidsfaktorn. Även en laglig behandling av uppgifter kan med tiden komma att bli oförenlig med dataskyddsförordningen om uppgifterna inte längre är relevanta eller är överdrivet omfattande i förhållande till det syfte för vilket de ursprungligen samlades in. Mot den bakgrunden frågar jag mig allvarligt hur lagring av personuppgifter kan motiveras under en tidsperiod på tre år när den nationella lagstiftaren anser att en lagringsperiod på sex månader, det vill säga en mycket kortare period, är mer än tillräcklig för att ta hänsyn till de ekonomiska aktörernas kommersiella intressen. Jag konstaterar att SCHUFA inte har kunnat ge ett klart och övertygande svar på denna fråga, trots att det enligt artikel 5.2 i dataskyddsförordningen ankommer på SCHUFA att visa att principerna för behandling av personuppgifter har iakttagits.
iii) Preliminär bedömning
75. En bedömning av samtliga omständigheter som angetts i föregående punkter leder mig till slutsatsen att de betydande negativa konsekvenser som lagringen av uppgifterna kommer att få för den registrerade efter den aktuella sexmånadersperioden förefaller väga tyngre än det privata företagets och dess kunders kommersiella intresse av att lagra uppgifterna efter denna period. Det är viktigt att i detta sammanhang understryka att den beviljade skuldsaneringen ska göra det möjligt för den som skuldsaneringen avser att på nytt delta i det ekonomiska livet. Klagandena i målet vid den nationella domstolen och kommissionen har även uppmärksammat denna aspekt vid förhandlingen. Detta mål skulle emellertid motverkas om privata kreditupplysningsföretag tilläts lagra personuppgifter i sina databaser efter det att dessa uppgifter har raderats från det offentliga registret.
iv) Ytterligare skyddsåtgärder
76. Vad slutligen gäller de ytterligare skyddsåtgärder som den registeransvarige eventuellt har infört för att förhindra all omotiverad inverkan på de registrerade, finns det ingenting i beslutet om hänskjutande eller i SCHUFA:s yttrande som skulle kunna tyda på sådana åtgärder.
4) Slutsats i denna del
77. Mot bakgrund av vad som anförts ovan anser jag att lagring av uppgifter av ett privat kreditupplysningsföretag inte kan vara laglig enligt artikel 6.1 f i dataskyddsförordningen när de personuppgifter som rör en insolvens har raderats från de offentliga registren.
78. När det gäller den sexmånadersperiod under vilken personuppgifterna även finns tillgängliga i offentliga register, ankommer det på den hänskjutande domstolen att göra en avvägning mellan de ovannämnda intressena och konsekvenserna för den registrerade för att fastställa om den parallella lagringen av dessa uppgifter hos privata kreditupplysningsföretag är laglig enligt artikel 6.1 f i dataskyddsförordningen.
b) Överensstämmelse med principerna om ändamålsbegränsning och uppgiftsminimering (artikel 5.1 b och c i dataskyddsförordningen).
79. I enlighet med principen om ändamålsbegränsning i artikel 5.1 b i dataskyddsförordningen bör det säkerställas att personuppgifter som samlas in för särskilda ändamål inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. I det aktuella fallet behandlade offentliga myndigheter uppgifter om insolvens och skuldsanering inom ramen för fullgörandet av rättsliga förpliktelser.
80. När det gäller ett privat företags ytterligare användning av uppgifterna är det dock nödvändigt att mot bakgrund av dataskyddsförordningen och med tillämpning av kriterierna i artikel 6.4 i denna förordning undersöka om det avsedda ändamålet är förenligt med det ursprungliga ändamålet. Punkterna a, b och d i denna bestämmelse är särskilt relevanta i förevarande fall. I dessa fastställs följande kriterier i) kopplingen mellan det ursprungliga ändamålet och det ytterligare ändamålet, ii) det sammanhang i vilket uppgifterna samlades in och i synnerhet förhållandet mellan de registrerade och den personuppgiftsansvarige, samt iii) de möjliga konsekvenserna av den ytterligare behandlingen som planeras för den registrerade.
81. För det första förefaller det som om kopplingen mellan ändamålen är svag, inte minste eftersom det ursprungliga ändamålet föreskrivs i lag, närmare bestämt i unionsrätten som ålägger medlemsstaterna en skyldighet att upprätta och föra register, och att den personuppgiftsansvarige är en offentlig myndighet som agerar inom ramen för de uppgifter som den anförtrotts genom lag, medan det ytterligare ändamålet eftersträvas av en privat enhet inom ramen för en kommersiell verksamhet som består i att tillhandahålla ekonomisk information om enskilda personer.
82. Vad för det andra gäller det sammanhang i vilket uppgifterna samlades in, kan det konstateras att det inte finns något samband mellan den personregisteransvarige och den registrerade, eftersom insamlingen av uppgifterna sker indirekt genom register och den registrerade således inte har kännedom om att hans eller hennes uppgifter kan användas senare, eller av vem eller i vilket syfte. Denna aspekt är enligt min mening särskilt allvarlig när det gäller skyddet av personuppgifter, eftersom ingen i allmänhet rimligen kan förvänta sig ytterligare behandling av hans eller hennes personuppgifter. Den omständigheten att det i lagen föreskrivs en bestämd tidsperiod för lagring av uppgifter i offentliga register kan rimligen ge intryck av att uppgifterna i fråga kommer att raderas efter utgången av denna frist.
83. Vad för det tredje gäller de möjliga konsekvenser som den ytterligare behandlingen av uppgifterna kan få för de registrerade, ska det understrykas att upplysningarna om insolvensförfaranden alltid kommer att användas som negativ faktor vid en framtida bedömning av den berörda fysiska personens solvens och betalningsförmåga, vilket har en betydande inverkan på denna persons rättigheter. En felaktig bild av den ekonomiska situationen kan få negativa effekter för den registrerade, vilket kan göra det betydligt svårare för honom eller henne att utöva sina friheter och till och med stigmatisera honom eller henne i samhället. I den mån den registrerade kan nekas varor och tjänster kan han eller hon utsättas för omotiverad diskriminering.
84. Mot bakgrund av dessa tre kriterier, som ska vara uppfyllda för att användningen av personuppgifter ska vara förenlig med det ursprungliga ändamålet, såsom anges i artikel 6.4 i dataskyddsförordningen, förefaller det tveksamt om en ytterligare användning av dessa uppgifter kan vara förenlig med detta ändamål.
85. Det ska dessutom konstateras att den nationella lagstiftaren, genom att fastställa den längsta frist under vilken insolvensen och det rättsliga beslutet om skuldsanering får offentliggöras, om de rättsliga villkoren är uppfyllda, till sex månader, redan har beaktat ändamål som rör allmänintresset och gjort en avvägning mellan borgenärernas intressen, å ena sidan, och de insolventa personernas intressen och rättigheter, å andra sidan. Den behandling av personuppgifter som privata företag utför under en tidsperiod som är sex gånger längre än den som föreskrivs i lagen om offentliga register förefaller vara orimligt lång och straffar de facto den registrerade, även om något sådant inte tydligt föreskrivs i lagen. Såsom jag redan anfört ska den beviljade skuldsaneringen göra det möjligt för den som skuldsaneringen avser att på nytt delta i det ekonomiska livet. Detta mål skulle emellertid motverkas om privata kreditupplysningsföretag tilläts lagra personuppgifter i sina databaser efter det att dessa uppgifter raderats från det offentliga registret. I avsaknad av bevis för motsatsen kan det befaras att villkoren för tillgång till databasen kan ha utformats i syfte att kringgå den nationella lagstiftning som medlemsstaten antagit för att fullgöra sina skyldigheter enligt unionsrätten.
86. För övrigt framstår det som oproportionerligt att i framtida utvärderingar ”återanvända” en tidigare situation som redan har klargjorts på det rättsliga planet, såsom skuldsanering, i stället för att använda sig av uppdaterade faktorer vid tidpunkten för riskanalysen för att säkerställa en mer exakt och objektiv bedömning av den registrerades ekonomiska situation. Man kan nämligen fråga sig vilket värde en uppgift om en persons ekonomiska situationen som går flera år tillbaka i tiden har. Personuppgifter som är kopplade till en omständighet som ligger en tid tillbaka i tiden kommer knappast att ge tillförlitlig information om den registrerades aktuella ekonomiska situation. Den tyska lagstiftaren verkar ha insett detta problem och dragit rätt slutsatser genom att välja en betydligt kortare period för lagring av uppgifter.
87. Slutligen anser jag att det sätt på vilket kreditupplysningsföretagen har förfarit strider mot principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen, enligt vilken personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. I detta avseende uppkommer frågan vad det är för mening med att göra personuppgifter tillgängliga som redan är allmänt tillgängliga i register som upprättats av medlemsstaterna. En sådan verksamhet kan enligt min mening snarare leda till en spridning av känslig information som inte nödvändigtvis är nödvändig för att tillvarata de ekonomiska aktörernas affärsintressen.
88. Av de skäl som anges ovan anser jag att lagring av sådana uppgifter av ett kreditupplysningsföretag inte utgör en praxis som är förenlig med principerna om ändamålsbegränsning och uppgiftsminimering i artikel 5.1 b respektive c i dataskyddsförordningen.
c) Slutsatser i denna del
89. Mot bakgrund av ovanstående bedömning drar jag slutsatsen att den praxis som tillämpas av kreditupplysningsföretag som består i att lagra personuppgifter från offentliga register under en tidsperiod på tre år inte är förenlig med de principer som reglerar behandlingen av personuppgifter i dataskyddsförordningen. Det ska emellertid preciseras att denna slutsats grundar sig på en bedömning av de faktiska omständigheterna, vilken i slutändan ankommer på den hänskjutande domstolen, som har att avgöra målet.
2. Utnyttjande av rätten till radering (artikel 17.1 i dataskyddsförordningen)
90. Den hänskjutande domstolen vill även få klarhet i huruvida ”rätten att bli bortglömd” som föreskrivs i artikel 17 i dataskyddsförordningen innebär att personuppgifter raderas från ett kreditupplysningsföretags databaser som existerar parallellt med offentliga registren och innehåller samma uppgifter. Den hänskjutande domstolen har gjort åtskillnad mellan den tidsperiod då personuppgifterna även finns tillgängliga i det offentliga registret och den tidsperiod då uppgifterna inte längre är tillgängliga där.
91. I artikel 17.1 d i dataskyddsförordningen föreskrivs en absolut rätt för den registrerade att få sina personuppgifter raderade när de har behandlats på olagligt sätt. Om den hänskjutande domstolen, med hänsyn till den slutsats som jag dragit inom ramen för min bedömning, skulle finna att SCHUFA inte kunde ha behandlat klagandenas personuppgifter lagligt på grundval av artikel 6.1 första stycket f i dataskyddsförordningen, vore en sådan behandling därför vara olaglig om ingen annan grund som avses i artikel 6.1 i dataskyddsförordningen skulle vara tillämplig. I ett sådant fall skulle SCHUFA vara skyldig att radera klagandenas personuppgifter och klagandena skulle ha rätt att få sina personuppgifter raderade, oavsett om de hade begärt att uppgifterna skulle raderas under perioden före eller efter det att de raderats från det offentliga registret. Ett sådant resultat verkar också vara förenligt med kraven i artikel 5.1 e i dataskyddsförordningen, där det föreskrivs att personuppgifter ”[inte] får … förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas” (min kursivering).
92. I detta avseende vill jag uppmärksamma artikel 79.5 i förordning 2015/848, som understryker den betydelse som unionslagstiftaren har tillmätt rätten till radering, särskilt när myndigheter behandlar personuppgifter som är särskilt känsliga, såsom personuppgifter som har samband med de registrerades solvens. Enligt denna bestämmelse ska medlemsstaterna ”[s]om del av den information som bör tillhandahållas de registrerade för att de ska kunna utöva sina rättigheter, och särskilt rätten till radering av uppgifter, … informera de registrerade om den fastställda tidsperiod då personuppgifter som lagrats i insolvensregister är tillgängliga” (min kursivering). Unionslagstiftaren har uppenbarligen insett nödvändigheten av att radera den typen av uppgifter när det inte längre är motiverat att lagra dem.
93. Även om respektive begäran om förhandsavgörande endast avser tolkningen av artikel 17.1 d i dataskyddsförordningen, anser jag att förordningens artikel 17.1 c också kan vara relevant för den dom som ska avkunnas i de aktuella målen, nämligen om den hänskjutande domstolen, i motsats till den slutsats som jag har dragit på grundval av tillgänglig information, skulle finna att SCHUFA kunde behandla klagandenas personuppgifter lagligt enligt artikel 6.1 första stycket f i dataskyddsförordningen. I denna bestämmelse föreskrivs en rätt till radering av personuppgifter när den registrerade invänder mot behandlingen i enlighet med artikel 21.1 i dataskyddsförordningen och det saknas tvingande berättigade skäl för behandlingen. Denna formulering innebär att varje ”skäl för behandlingen som väger tyngre” utgör ett undantag från den registrerades rätt att invända mot behandlingen och att få sina personuppgifter raderade. Följaktligen antas den registrerade ha rätt att invända mot behandlingen och rätt till radering såvida det inte finns tvingande berättigade skäl.
94. Jag anser att det, för att säkerställa ett effektivt skydd av personuppgifter, inte bör finnas några betydande hinder för utövandet av rätten till radering, särskilt när det finns flera kreditupplysningsföretag på marknaden som lagrar uppgifter parallellt med det offentliga registret. Om det skulle bli alltför svårt att utöva denna rätt på grund av en strikt tolkning av artikel 17.1 i dataskyddsförordningen, finns det en risk för att det skydd som dataskyddsförordningen avser att ge skulle kunna kringgås av konkurrenter. Det ska erinras om att unionslagstiftarens mål var att ”[säkerställa e]n konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter … i hela unionen” (min kursivering), såsom framgår av skäl 10 i dataskyddsförordningen. Den registrerade ska således kunna göra sina rättigheter gällande gentemot alla företag som åsidosätter dessa bestämmelser. Eftersom SCHUFA endast är ett av flera stora kreditupplysningsföretag i Tyskland, är det nödvändigt att fastställa huruvida lagringen av personuppgifter parallellt med det offentliga registret är en utbredd praxis bland dessa företag.
95. I detta skede av bedömningen ska det således konstateras att klagandena i princip kan göra gällande en rätt till radering enligt artikel 17.1 i dataskyddsförordningen. Resultatet skulle endast bli annorlunda om ett kreditupplysningsföretag har lyckats ”påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter”, i den mening som avses i artikel 21.1 i dataskyddsförordningen. I den mån de tillgängliga uppgifterna inte gör det möjligt att identifiera de tvingande skäl som skulle kunna föreligga i målet vid den nationella domstolen, ankommer det på den nationella domstolen att fastställa de faktiska omständigheterna och, i förekommande fall, att göra en avvägning mellan de intressen som står på spel.
96. Mot bakgrund av det ovan anförda ska artikel 17.1 d i dataskyddsförordningen tolkas så, att den registrerade har rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade när dessa uppgifter har behandlats på olagligt sätt i enlighet med artikel 6.1 i förordningen. Artikel 17.1 c i dataskyddsförordningen ska tolkas så, att den registrerade i princip har rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade om han eller hon invänder mot behandlingen i enlighet med artikel 21.1 i förordningen. Det ankommer på den hänskjutande domstolen att pröva om det undantagsvis finns tvingande berättigade skäl för behandlingen.
3. Tillämpning av en uppförandekod i den mening som avses i artikel 40 i dataskyddsförordningen för att föreskriva tidsfrister för prövning och radering som sträcker sig längre än lagringstiderna för offentliga register
97. Den hänskjutande domstolen vill även få klarhet i huruvida det är förenligt med unionsrätten att i en uppförandekod, i den mening som avses i artikel 40 i dataskyddsförordningen, föreskriva tidsfrister för prövning och radering som sträcker sig längre än lagringstiderna för offentliga register, utan att behöva göra den avvägning som föreskrivs i artikel 6.1 första stycket f i denna förordning.
98. Det ska inledningsvis påpekas att det, enligt den hänskjutande domstolen, för närvarande inte finns någon nationell lagstiftning som fastställer tidsfrister för radering för databaser som förs av kreditupplysningsföretag. Det verkar emellertid som om de berörda parterna uppfattar den uppförandekod som antagits gemensamt av tillsynsmyndigheterna och sammanslutningen för kreditupplysningsföretag som en sorts ”rättslig grund” som kan legitimera den praxis som beskrivits ovan. En sådan uppfattning kan enligt min mening kritiseras i rättsligt hänseende av följande skäl.
99. I rättsligt hänseende utgör en sådan uppförandekod endast ett frivilligt åtagande från dem som utarbetat och antagit den, det vill säga den ovannämnda sammanslutningen och dess medlemmar. På samma sätt innebär den omständigheten att uppförandekoden har godkänts av en tillsynsmyndighet endast att denna, i egenskap av förvaltningsmyndighet, anser sig vara bunden av nämnda uppförandekod. För mig är det emellertid uppenbart att den inte är bindande för tredje part i enlighet med den rättsliga principen att ett avtal endast binder parterna och endast parterna (pacta tertiis nec nocent nec prosunt). I annat fall skulle inte bara fysiska personer vars uppgifter behandlas påverkas, utan även företag som inte har deltagit i utarbetandet av en sådan uppförandekod.
100. En uppförandekod har per definition inget normativt värde i en rättsordning, utan syftar snarare till att klargöra bestämmelserna i en normativ akt för att underlätta tillämpningen av den. Denna tolkning stöds av artikel 40.1 och 40.2 i dataskyddsförordningen, av vilken det framgår att de uppförandekoder som ska utarbetas av sammanslutningar och andra organ som företräder kategorier av personuppgiftsansvariga eller personuppgiftsbiträden är, å ena sidan, avsedda att ”bidra till att [denna förordning] genomförs korrekt,” och, å andra sidan, att ”specificera tillämpningen” av denna förordning (min kursivering). Eftersom den enda funktionen som uppförandekoden i fråga har är att säkerställa att dataskyddsförordningen genomförs korrekt inom en viss sektor, kan den därför inte i sig själv utgöra den rättsliga grunden för behandlingen av personuppgifter.
101. Den rättsliga grunden för sådan behandling kan endast finnas i artikel 6 i dataskyddsförordningen eller, om det finns en tillämplig öppnandeklausul, i nationell lagstiftning. Jag har redan i detta förslag till avgörande angett att det i artikel 6 i dataskyddsförordningen föreskrivs en uttömmande och begränsande uppräkning av de fall där behandling av personuppgifter kan anses vara tillåten. Följaktligen skulle reglerna i uppförandekoden inte kunna leda till en utvidgning av denna förteckning utan att samtidigt åsidosätta unionsrätten.
102. Enligt min mening är detta emellertid just fallet när, som i förevarande fall, kreditupplysningsföretag enligt dessa bestämmelser åläggs en skyldighet att lagra uppgifter om registrerade under en period på tre år, det vill säga under en längre tidsperiod som inte kan motiveras med hänsyn till de principer som reglerar behandlingen av personuppgifter som slås fast i dataskyddsförordningen. Som jag har visat inom ramen för min bedömning kan lagringen av dessa uppgifter närmare bestämt inte anses vara laglig enligt artikel 6.1 första stycket f i dataskyddsförordningen under perioden efter raderingen av personuppgifter om insolvens i de offentliga registren.
103. I detta skede av bedömningen ska det således konstateras att uppförandekoder som skulle leda till ett annat resultat än det som skulle ha uppnåtts med tillämpning av artikel 6.1 första stycket f i dataskyddsförordningen inte kan beaktas vid avvägningen enligt den bestämmelsen. Kreditupplysningsföretag kan i egenskap av ”personregisteransvariga” i den mening som avses i artikel 4.7 inte gömma sig bakom reglerna i den uppförandekod som de själva har utarbetat för att med giltig verkan undkomma sina skyldigheter enligt dataskyddsförordningen.
104. Mot bakgrund av det ovan anförda anser jag att artikel 40.2 och 40.5 i dataskyddsförordningen ska tolkas så, att uppförandekoder som utarbetats i enlighet med dessa bestämmelser och eventuellt godkänts av tillsynsmyndigheten inte kan fastställa rättsligt bindande villkor för laglig behandling av personuppgifter som skiljer sig från de villkor som fastställs i artikel 6.1 i dataskyddsförordningen.
VI. Förslag till avgörande
105. Mot bakgrund av det ovan anförda föreslår jag att domstolen ska besvara tolkningsfrågorna från Verwaltungsgericht Wiesbaden (Förvaltningsdomstolen i Wiesbaden, Tyskland) på följande sätt: 1) Artikel 78.1 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ska tolkas på så sätt att det av denna bestämmelse följer att ett rättsligt bindande beslut som har fattats av en tillsynsmyndighet underställs en fullständig domstolsprövning i sak. 2) Artikel 6.1 första stycket f i förordning 2016/679 ska tolkas på så sätt att den utgör hinder för datalagring hos ett privat kreditupplysningsföretag, där personuppgifter från ett offentligt register, såsom de ”nationella databaserna” i den mening som avses i artikel 79.4 och 79.5 i Europaparlamentets och rådets förordning (EU) 2015/848 av den 20 maj 2015 om insolvensförfaranden, under en längre tidsperiod än den då uppgifterna lagras i det offentliga registret. Det ankommer på den hänskjutande domstolen att pröva om lagringen av uppgifter under den tidsperiod som är tillåten för det offentliga registret uppfyller villkoren i artikel 6.1 första stycket f i förordning 2016/679. 3) Artikel 17.1 d i förordning 2016/679 ska tolkas på så sätt att den registrerade har rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade när dessa uppgifter har behandlats på olagligt sätt i enlighet med artikel 6.1 i denna förordning. Artikel 17.1 c i förordning 2016/679 ska tolkas på så sätt att den registrerade i princip har rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade om han eller hon invänder mot behandlingen i enlighet med artikel 21.1 i denna förordning. Det ankommer på den hänskjutande domstolen att pröva om det undantagsvis finns tvingande berättigade skäl för behandlingen. 4) Artikel 40.2 och 40.5 i förordning 2016/679 ska tolkas på så sätt att uppförandekoder som utarbetats i enlighet med dessa bestämmelser och eventuellt godkänts av tillsynsmyndigheten inte kan fastställa rättsligt bindande villkor för laglig behandling av personuppgifter som skiljer sig från de villkor som fastställs i artikel 6.1 i denna förordning.
1 Originalspråk: franska.
2 EUT L 119, 2016, s. 1.
3 EUT L 141, 2015, s. 19.
4 Det rör sig konkret om artiklarna 18 och 21 i Europaparlamentets och rådets direktiv 2014/17/EU av den 4 februari 2014 om konsumentkreditavtal som avser bostadsfastighet och om ändring av direktiven 2008/48/EG och 2013/36/EU och förordning (EU) nr 1093/2010 (EUT L 60, 2014, s. 34) samt artiklarna 8 och 9 i Europaparlamentets och rådets direktiv 2008/48/EG av den 23 april 2008 om konsumentkreditavtal och om upphävande av rådets direktiv 87/102/EEG (EUT L 133, 2008, s. 66).
5 Se förslag till avgörande av generaladvokaten Szpunar i målet Latvijas Republikas Saeima (Prickning) ( C‑439/19, EU:C:2020:1054, punkt 48).
6 Dom av den 15 juni 2021, Facebook Ireland m.fl. ( C‑645/19, EU:C:2021:483, punkterna 44 och 45).
7 Dom av den 16 juli 2020, Facebook Ireland och Schrems ( C‑311/18, EU:C:2020:559, punkt 109).
8 Se, för ett liknande resonemang, Kotschy, W., ”Article 77. Right to lodge a complaint with a supervisory authority”, The EU General Data Protection Regulation (GDPR) (utg. Christopher Kuner, Lee A. Bygrave, Christopher Docksey), Oxford 2020, s. 1123.
9 Se, för ett liknande resonemang, Härting, N./Flisek, C./Thiess, L., ”DSGVO: Der Verwaltungsakt wird zum Normalfall - Das neue Beschwerderecht”, Computer und Recht, 5/2018, s. 299, där det erinras om att tillsynsmyndigheten enligt artikel 57.1 a i dataskyddsförordningen har till uppgift att kontrollera tillämpningen av dataskyddsförordningen och se till att den efterlevs i de registrerades intresse. Enligt författarna ska tillsynsmyndigheten inte förbli overksam när en medborgares rättigheter kränks genom behandling av personuppgifter. Tvärtom är tillsynsmyndigheten skyldig att avhjälpa situationen och använda sina befogenheter enligt artikel 58.2 i dataskyddsförordningen.
10 Se, för ett liknande resonemang, Hijmans, H., ”Article 55. Tasks”, The EU General Data Protection Regulation (GDPR) (utg. Christopher Kuner, Lee A. Bygrave, Christopher Docksey), Oxford 2020, sidorna 934 och 936.
11 Se mitt förslag till avgörande i målet parlamentet/UZ ( C‑894/19 P, EU:C:2021:497, punkt 68) för en detaljerad förklaring av begreppet god förvaltningssed i unionens förvaltningsrätt.
12 Förslag till avgörande av generaladvokaten Saugmandsgaard Øe i målet Facebook Ireland och Schrems ( C‑311/18, EU:C:2019:1145, punkterna 146 och 147).
13 Förslag till avgörande av generaladvokaten Saugmandsgaard Øe i målet Facebook Ireland och Schrems ( C‑311/18, EU:C:2019:1145, punkt 148).
14 Se punkterna 43 och 44 i detta förslag till avgörande.
15 Se Efta-domstolens dom av den 10 december 2020 i de förenade målen E-11/19 och E-12/19, Adpublisher AG mot J och K, punkt 58, där Efta-domstolen konstaterade att artikel 58.4 och artikel 78 i dataskyddsförordningen ”uttrycker rätten till ett effektivt rättsmedel”.
16 Dom av den 7 september 2021, Klaipėdos regiono atliekų tvarkymo centras ( C‑927/19, EU:C:2021:700, punkt 146).
17 Se dom av den 6 oktober 2015, Schrems ( C‑362/14, EU:C:2015:650, 95).
18 Se dom av den 12 januari 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság ( C‑132/21, EU:C:2023:2, punkt 41).
19 Se, för ett liknande resonemang, Kotschy, W., ”Article 77. Right to lodge a complaint with a supervisory authority” The EU General Data Protection Regulation (GDPR) (utg. Christopher Kuner, Lee A. Bygrave, Christopher Docksey), Oxford 2020, sidorna 1127–1130.
20 Se förslag till avgörande av generaladvokaten Richard de la Tour i målet Budapesti elektromos Msvek m.fl. ( C‑132/21, EU:C:2022:661, punkt 43 och följande punkter).
21 Dom av 11 november 2020, DenizBank ( C‑287/19, EU:C:2020:897, punkt 59), och dom av den 24 februari 2022, Glavna direktsia ”Pozharna bezopasnost i zashtita na naselenieto” ( C‑262/20, EU:C:2022:117, punkt 33), och dom av den 11 november 2020, DenizBank ( C‑287/19, EU:C:2020:897, punkt 59).
22 Dom av den 11 december 2019, Asociaţia de Proprietari bloc M5A-ScaraA ( C‑708/18, EU:C:2019:1064, punkt 32).
23 Dom av den 26 april 2022, Polen/Parlamentet och rådet ( C‑401/19, EU:C:2022:297, punkt 47).
24 Dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning) ( C‑439/19, EU:C:2021:504, punkt 99), och dom av den 1 augusti 2022, Vyriausioji tarnybinės etikos komisija ( C‑184/20, EU:C:2022:601, punkt 67).
25 Dom av den 17 juni 2021, M.I.C.M. ( C‑597/19, EU:C:2021:492, punkt 106).
26 Se i detta avseende förslag till avgörande av generaladvokaten Rantos i målet Meta Platforms m.fl.(Allmänna villkor för användning av ett socialt nätverk) ( C‑252/21, EU:C:2022:704, punkt 60).
27 Se dom av den 4 maj 2017, Rīgas satiksme ( C‑13/16, EU:C:2017:336, punkt 30), och dom av den 17 juni 2021, M.I.C.M. ( C‑597/19, EU:C:2021:492, punkt 110).
28 Dom 4 maj 2017, Rīgas satiksme ( C‑13/16, EU:C:2017:336, punkt 31), och dom av den 17 juni 2021, M.I.C.M. ( C‑597/19, EU:C:2021:492, punkt 111).
29 Yttrande 6/2014 om begreppet ”den registeransvariges berättigade intressen” i artikel 7 i direktiv 95/46/EG, WP217 av den 9 april 2014, avsnitt III.3.4 (”Nyckelfaktorer som ska beaktas vid tillämpningen av avvägningstestet”).
30 Se punkterna 61–63 i förevarande förslag till avgörande.
31 Dom av den 13 maj 2014, Google Spain och Google ( C‑131/12, EU:C:2014:317, punkterna 86 och 87), och dom av den 11 december 2019, Asociaţia de Proprietari bloc M5A-ScaraA ( C‑708/18, EU:C:2019:1064, punkt 57).
32 Dom av den 1 augusti 2022, Vyriausioji tarnybinės etikos komisija ( C‑184/20, EU:C:2022:601, punkt 92).
33 Dom av den 11 december 2019, Asociaţia de Proprietari bloc M5A-ScaraA ( C‑708/18, EU:C:2019:1064, punkt 57).
34 Dom av den 13 maj 2014, Google Spain och Google ( C‑131/12, EU:C:2014:317, punkt 98).
35 Se dom av den 22 november 2022, Luxembourg Business Registers ( C‑37/20 och C‑601/20, EU:C:2022:912, punkterna 39–42), där EU-domstolen fann att tillgängliggörande för allmänheten av uppgifter om verkligt huvudmannaskap i bolag och andra juridiska enheter utgjorde ett åsidosättande av rättigheter som garanteras i artiklarna 7 och 8 i stadgan. I sitt resonemang tog EU-domstolen hänsyn till att de aktuella personuppgifterna var känsliga och till att denna information var tillgänglig för ett potentiellt obegränsat antal personer.
36 SCHUFA har vid förhandlingen hänvisat till att vissa personer på nytt blir insolventa, vilket enligt SCHUFA berättigar en lagringstid på tre år.
37 Gutowski, M., ”OLG Schleswig: Eintragung erfolgter Restschuldbefreiung in Datenbanken von Auskunfteien über die Löschungsfrist für das Insolvenzbekanntmachungsportal hinaus”, Neue Zeitschrift für Insolvenz- und Sanierungsrecht, 18/2021, s. 799, har ifrågasatt om det är ändamålsenligt att föreskriva att uppgifter om en person ska lagras under tre år för att fastställa vederbörandes ekonomiska situation.
38 Se, för ett liknande resonemang, Heyer, H.-U., ”Schein-Datenschutz”, Zeitschrift für Verbraucher-, Privat- und Nachlassinsolvenz, 2019, s. 46.
39 Se punkt 31 i förevarande förslag till avgörande.
40 Se dom av den 11 december 2019, Asociaţia de Proprietari bloc M5A-ScaraA ( C‑708/18, EU:C:2019:1064, punkt 58).
41 Det argument som SCHUFA anförde vid förhandlingen, att den tyska lagstiftaren inte hade gjort något för att förkorta den frist på tre år som detta privata företag tillämpade, verkar inte vederlägga detta konstaterande. Det kan nämligen finnas olika skäl till varför en medlemsstat ännu inte har behandlat problematiken kring parallella databaser. Syftet med den hänskjutande domstolens begäran om förhandsavgörande är just att finna svar på denna problematik för att åstadkomma en situation som uppfyller kraven i dataskyddsförordningen.
42 Se punkt 75 i förevarande förslag till avgörande.
43 Ehmann, E., Bundesdatenschutzgesetz (utg. Simitis/Hornung/Spiecker), Datenschutzrecht – DSGVO mit BDSG, åttonde upplagan, Baden-Baden 2014, § 29, punkt 192, anser att det inte längre finns något berättigat intresse av att personuppgifter sprids genom en databas som förvaltas av ett privat företag när den frist som föreskrivs i den nationella lagstiftningen för offentliggörande i ett offentligt register har löpt ut, eftersom syftet med lagstiftningen annars skulle motverkas.
44 Se dom av den 1 augusti 2022, Vyriausioji tarnybinės etikos komisija ( C‑184/20, EU:C:2022:601, punkt 93), av vilken det framgår att villkoret om att ”behandlingen ska vara nödvändig” ska prövas tillsammans med principen om ”uppgiftsminimering”.
45 Dix, A., Datenschutzrecht - DSGVO mit BDSG (utg. Simitis/Hornung/Spiecker), Baden-Baden 2018, artikel 17, punkt 14.
46 Se punkt 77 i förevarande förslag till avgörande.
47 Kranenborg, H., Article 17. Right to erasure (”right to be forgotten”), The EU General Data Protection Regulation (GDPR) (utg. Christopher Kuner, Lee A. Bygrave, Christopher Docksey), Oxford 2020, s. 481, har förklarat att artikel 21.1 i dataskyddsförordningen leder till att bevisbördan omkastas, så att den personregisteransvarige i stället för den registrerade måste visa att det föreligger tvingande berättigade skäl för behandlingen. Om den ansvariga personen inte lyckas göra det ska uppgifterna i fråga raderas.
48 Det är viktigt att uppmärksamma det faktum att det i den aktuella uppförandekoden (”Verhaltensregeln für die Prüf- und Löschfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien vom 25.05.2018”) anges att dess regler ”inte innehåller några bestämmelser om den materiella motiveringen för lagring av personuppgifter”. Det framgår även av uppförandekoden att ”det i bestämmelserna om lagringstid och raderingstid inte anges huruvida lagringen av dessa är lagenlig.” Följande raderings- och lagringstider gäller oavsett om de underliggande uppgifterna samlades in och lagrades på laglig grund eller på grundval av samtycke” (min kursivering). Detta visar enligt min mening att författarna till uppförandekoden måste ha varit medvetna om att uppförandekoden inte utgör en rättslig grund som kan legitimera behandling av uppgifter.
49 Se punkt 59 i förevarande förslag till avgörande.
50 Se punkt 77 i förevarande förslag till avgörande.