Χορήγηση πίστωσης κατόπιν αξιολόγησης αφερεγγυότητας, αποθήκευση δημοσιεύσεων πρόωρης πτωχευτικής απαλλαγής και προστασία προσωπικών δεδομένων (προτάσεις γεν. εισαγγελέα ΔΕΕ)
Επιμέλεια: Γεώργιος Π. Κανέλλος
Με τις δημοσιευθείσες στις 16.03.2023 προτάσεις του σε τρεις εκκρεμείς υποθέσεις ενώπιον του Δικαστηρίου της Ευρωπαϊκής Ένωσης (ΔΕΕ), ο γενικός εισαγγελέας ΔΕΕ Priit Pikamäe, κατέληξε στο συμπέρασμα ότι ο αυτοματοποιημένος καθορισμός της πιθανότητας σχετικά με την ικανότητα ενός προσώπου να εξυπηρετήσει ένα δάνειο συνιστά κατάρτιση προφίλ στο πλαίσιο του Γενικού Κανονισμού Προστασίας Δεδομένων (ΓΚΠΔ).
Επιπλέον, σύμφωνα με τον γεν. εισαγγελέα Pikamäe, η νομικά δεσμευτική απόφαση εποπτικής αρχής δυνάμει των διατάξεων του ΓΚΠΔ υπόκειται σε πλήρη δικαστικό έλεγχο επί της ουσίας.
Ιστορικό των υποθέσεων
Υπόθεση C-634/21
Από την απόφαση περί παραπομπής προκύπτει ότι η προσφεύγουσα της κύριας δίκης δεν έλαβε πίστωση λόγω αξιολόγησης φερεγγυότητας που πραγματοποίησε η SCHUFA. Η SCHUFA είναι εταιρία ιδιωτικού δικαίου, η οποία ασκεί δραστηριότητα παροχής οικονομικών πληροφοριών, παρέχοντας ειδικότερα στους πελάτες της πληροφορίες σχετικά με τη φερεγγυότητα των καταναλωτών. Προς τούτο, η SCHUFA πραγματοποιεί αξιολογήσεις φερεγγυότητας για τις οποίες καταρτίζει, βάσει ορισμένων χαρακτηριστικών ενός προσώπου, μια εκτίμηση, βασισμένη σε μαθηματική στατιστική διαδικασία, σχετικά με την πιθανότητα μελλοντικής συμπεριφοράς, όπως η εξόφληση πίστωσης.
Η προσφεύγουσα ζήτησε από τη SCHUFA να διαγράψει τα ανακριβή δεδομένα που την αφορούσαν και να της παράσχει πρόσβαση στα καταχωρισμένα δεδομένα που την αφορούσαν. Η SCHUFA κοινοποίησε, μεταξύ άλλων, στην προσφεύγουσα τη βαθμολογία που υπολόγισε σε σχέση με αυτήν και τον βασικό τρόπο υπολογισμού της βαθμολογίας, όχι όμως τον τρόπο επιμέτρησης των διαφόρων δεδομένων στον εν λόγω υπολογισμό. Η SCHUFA θεώρησε ότι δεν υποχρεούται να αποκαλύψει τις μεθόδους υπολογισμού που χρησιμοποιεί, καθότι αυτές εμπίπτουν στο επαγγελματικό και το επιχειρηματικό απόρρητο. Επιπλέον, η SCHUFA ισχυρίστηκε ότι παρέχει πληροφορίες μόνο στους πελάτες της, οι οποίοι λαμβάνουν τις καθαυτό αποφάσεις σχετικά με τις συμβάσεις πίστωσης.
Η προσφεύγουσα υπέβαλε στον καθού, επόπτη προστασίας δεδομένων (επίτροπο προστασίας δεδομένων και ελευθερίας πληροφόρησης του ομόσπονδου κράτους της Έσσης, Γερμανία, άλλως HBDI), καταγγελία σχετικά με την έκθεση της SCHUFA, με την οποία του ζήτησε να υποχρεώσει την εταιρία να παράσχει και να διαγράψει πληροφορίες σύμφωνα με το αίτημά της. Με την απόφαση που εξέδωσε επί της καταγγελίας, ο HBDI εκτίμησε ότι δεν συνέτρεχε λόγος να προβεί σε οποιαδήποτε περαιτέρω ενέργεια σε σχέση με την εταιρία, με την αιτιολογία ότι πληροί τις απαιτήσεις που προβλέπονται από τον γερμανικό ομοσπονδιακό νόμο περί προστασίας δεδομένων.
Το αιτούν δικαστήριο έχει επιληφθεί προσφυγής την οποία η προσφεύγουσα της κύριας δίκης άσκησε κατά της απόφασης του καθού. Το αιτούν δικαστήριο εκτίμησε ότι, για να αποφανθεί επί της διαφοράς της κύριας δίκης, είναι απαραίτητο να εξακριβωθεί αν η δραστηριότητα των παρόχων υπηρεσιών οικονομικών πληροφοριών στο πλαίσιο της οποίας οι εν λόγω πάροχοι υπολογίζουν βαθμολογίες σχετικά με πρόσωπα και τις διαβιβάζουν σε τρίτους, χωρίς οποιαδήποτε σύσταση ή παρατήρηση, εμπίπτει στο πεδίο εφαρμογής του άρθρου 22, παράγραφος 1, του ΓΚΠΔ.
Υπό τις συνθήκες αυτές, το Verwaltungsgericht Wiesbaden (διοικητικό πρωτοδικείο Wiesbaden) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο προδικαστικά ερωτήματα.
Συνεκδικαζόμενες υποθέσεις C-26/22 και C-64/22
Στο πλαίσιο των διαδικασιών αφερεγγυότητας που κινήθηκαν εις βάρος τους, χορηγήθηκε στον UF και στον AB πρόωρη πτωχευτική απαλλαγή, με δικαστικές διατάξεις που εκδόθηκαν στις 17 Δεκεμβρίου 2020 και στις 23 Μαρτίου 2021, αντιστοίχως. Σύμφωνα με το άρθρο 9, παράγραφος 1, του γερμανικού ομοσπονδιακού νόμου περί αφερεγγυότητας και το άρθρο 3, παράγραφοι 1 και 2, του InsBekV, το γεγονός αυτό ανακοινώθηκε δημόσια στο διαδίκτυο, καταχώριση η οποία διαγράφηκε μετά την παρέλευση έξι μηνών.
Η SCHUFA, ιδιωτικό γραφείο οικονομικών πληροφοριών, αποθηκεύει στις βάσεις δεδομένων της τις πληροφορίες που ανακοινώνονται δημόσια σχετικά με πρόωρες πτωχευτικές απαλλαγές τις οποίες, όμως, διαγράφει μόνον μετά την παρέλευση τριών ετών από την αποθήκευση.
Κατόπιν όχλησης εκ μέρους του UF και του AB, αντιστοίχως, οι οποίοι ζήτησαν τη διαγραφή των καταχωρίσεων που τους αφορούν, η SCHUFA απάντησε ότι η δραστηριότητά της είναι σύμφωνη προς τον ΓΚΠΔ και ότι η προθεσμία έξι μηνών η οποία προβλέπεται στο άρθρο 3, παράγραφος 1, του InsBekV για τη διαγραφή δεν έχει εφαρμογή στην περίπτωσή της. Ως εκ τούτου, ο UF και ο AB υπέβαλαν χωριστές καταγγελίες ενώπιον του HBDI, ως αρμόδιας εποπτικής αρχής.
Ο HBDI αποφάνθηκε επί των καταγγελιών με δύο γνώμες, τις οποίες εξέδωσε την 1η Μαρτίου 2021 και στις 9 Ιουλίου 2021, αντιστοίχως. Κατ’ αυτόν, η SCHUFA έχει το δικαίωμα να αποθηκεύει αρνητικές καταχωρίσεις σχετικές με πτωχευτική απαλλαγή για διάστημα το οποίο υπερβαίνει το χρονικό διάστημα της απαλλαγής από την απαίτηση.
Τόσο ο UF όσο και ο AB άσκησαν προσφυγή κατά της αντίστοιχης γνώμης του HBDI ενώπιον του Verwaltungsgericht Wiesbaden (διοικητικού πρωτοδικείου Wiesbaden), αιτούντος δικαστηρίου. Με τις προσφυγές τους υποστήριξαν ότι ο HBDI οφείλει, στο πλαίσιο των καθηκόντων και των εξουσιών του, να λάβει μέτρα έναντι της SCHUFA προκειμένου να επιβάλει τη διαγραφή των καταχωρίσεων που τους αφορούν.
Συναφώς, το αιτούν δικαστήριο εκτίμησε ότι είναι αναγκαίο, κατά πρώτον, να αποσαφηνιστεί η νομική φύση της απόφασης που η εποπτική αρχή εκδίδει επί καταγγελίας υποβαλλόμενης δυνάμει του άρθρου 77, παράγραφος 1, του ΓΚΠΔ. Το αιτούν δικαστήριο εξέθεσε ότι, κατά τη γνώμη του HBDI, το δικαίωμα που προβλέπεται στο άρθρο 77, παράγραφος 1, του ΓΚΠΔ έχει χαρακτήρα αναφοράς. Επομένως, υπόκειται σε περιορισμένο μόνο δικαστικό έλεγχο, με τον οποίο εξακριβώνεται μόνον εάν η εποπτική αρχή εξέτασε την καταγγελία και ενημέρωσε τον καταγγέλλοντα για την πρόοδο και για την έκβασή της. Αντιθέτως, ο δικαστής δεν θα πρέπει να ελέγχει την ορθότητα επί της ουσίας της απόφασης που εκδίδεται επί της καταγγελίας.
Εντούτοις, το αιτούν δικαστήριο διατήρησε αμφιβολίες όσον αφορά τη συμβατότητα της προεκτεθείσας ανάλυσης με τον ΓΚΠΔ. Συγκεκριμένα, κατά το αιτούν δικαστήριο, το άρθρο 78, παράγραφος 1, του ΓΚΠΔ επιτάσσει τη δυνατότητα άσκησης πραγματικής δικαστικής προσφυγής. Λαμβανομένου υπόψη του σκοπού του ΓΚΠΔ, ο οποίος συνίσταται στη διασφάλιση της αποτελεσματικής προστασίας των θεμελιωδών ελευθεριών και δικαιωμάτων των φυσικών προσώπων κατ’ εφαρμογήν των άρθρων 7 (σεβασμός της ιδιωτικής και οικογενειακής ζωής) και 8 (προστασία των δεδομένων προσωπικού χαρακτήρα) του Χάρτη των Θεμελιωδών Δικαιωμάτων της ΕΕ, η μεταχείριση του δικαιώματος καταγγελίας δεν μπορεί να ερμηνεύεται στενά. Επομένως, το αιτούν δικαστήριο τείνει προς ερμηνεία κατά την οποία η επί της ουσίας απόφαση της εποπτικής αρχής πρέπει να ελέγχεται πλήρως ως προς το περιεχόμενό της από το δικαστήριο, με την επισήμανση όμως ότι η εποπτική αρχή διαθέτει τόσο περιθώριο εκτίμησης όσο και διακριτική ευχέρεια και ότι μπορεί να υποχρεωθεί να προβεί σε ενέργεια μόνον όταν δεν υφίστανται άλλες νόμιμες εναλλακτικές δυνατότητες.
Κατά δεύτερον, το αιτούν δικαστήριο διατήρησε αμφιβολίες όσον αφορά τη νομιμότητα της αποθήκευσης, από γραφεία οικονομικών πληροφοριών, δεδομένων προερχόμενων από δημόσιο μητρώο. Επ’ αυτού, το αιτούν δικαστήριο διευκρίνισε ότι τα εν λόγω γραφεία λαμβάνουν από δημόσιους φορείς το σύνολο των καταχωρίσεων που προέρχονται από τα δημόσια μητρώα, εν προκειμένω από το μητρώο οφειλετών και το μητρώο πτωχεύσεων. Κατά τον HBDI, τα εν λόγω δεδομένα προσωπικού χαρακτήρα χρησιμεύουν για την αξιολόγηση της φερεγγυότητας και επιτρέπεται να αποθηκεύονται για όσο χρονικό διάστημα απαιτείται για τους σκοπούς για τους οποίους αποθηκεύτηκαν. Επιπλέον, ελλείψει ρύθμισης εκ μέρους του εθνικού νομοθέτη, οι εποπτικές αρχές εξέδωσαν, από κοινού με το σωματείο των γραφείων οικονομικών πληροφοριών, κώδικες δεοντολογίας, οι οποίοι προβλέπουν τη διαγραφή ακριβώς τρία έτη μετά την καταχώριση στο αρχείο.
Κατά το αιτούν δικαστήριο, σε σχέση με τα άρθρα 7 και 8 του Χάρτη, τίθεται το ζήτημα του αν οι καταχωρίσεις στα δημόσια μητρώα μπορούν να μεταφερθούν, ως έχουν, σε καταλόγους που αποτελούν αντικείμενο διαχείρισης για ιδιωτικούς σκοπούς, χωρίς να συντρέχει συγκεκριμένος λόγος αποθήκευσης των δεδομένων. Πρόκειται, εν τέλει, για διατήρηση δεδομένων για μελλοντική χρήση κυρίως όταν, στο εθνικό μητρώο, τα δεδομένα έχουν ήδη διαγραφεί λόγω της παρέλευσης της περιόδου αποθήκευσης. Εξάλλου, η SCHUFA δεν είναι παρά ένα μόνο από τα πολλά γραφεία οικονομικών πληροφοριών που υπάρχουν και, ως εκ τούτου, τα δεδομένα διατηρούνται πολλαπλώς στη Γερμανία, γεγονός που συνεπάγεται μαζική προσβολή του θεμελιώδους δικαιώματος που κατοχυρώνεται στο άρθρο 7 του Χάρτη.
Το αιτούν δικαστήριο επισήμανε επιπλέον ότι επεξεργασία και, επομένως, αποθήκευση δεδομένων επιτρέπονται μόνον εάν πληρούται μια από τις προβλεπόμενες στο άρθρο 6, παράγραφος 1, του ΓΚΠΔ προϋποθέσεις, με τη διευκρίνιση ότι, εν προκειμένω, μπορεί να ληφθεί υπόψη μόνον το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του εν λόγω κανονισμού. Είναι, όμως, αμφίβολο αν υπεύθυνος επεξεργασίας, όπως η SCHUFA, έχει έννομο συμφέρον κατά την έννοια της εν λόγω διάταξης. Εν πάση περιπτώσει, εφόσον έχει έννομο συμφέρον, ένα γραφείο οικονομικών πληροφοριών μπορεί πάντοτε να διενεργεί έρευνα στα δημόσια μητρώα, για όσο διάστημα τα δεδομένα είναι αποθηκευμένα σε αυτό.
Επιπλέον, με το άρθρο 3 του InsBekV, ο Γερμανός νομοθέτης προβλέπει μόνον μια σχετικώς σύντομη αποθήκευση της πτωχευτικής απαλλαγής στο μητρώο αφερεγγυότητας διάρκειας έξι μηνών. Η εν λόγω διάταξη βασίζεται στο άρθρο 79, παράγραφος 5, του κανονισμού (ΕΕ) 2015/848 [κανονισμού περί των διαδικασιών αφερεγγυότητας], κατά το οποίο τα κράτη μέλη ενημερώνουν τα υποκείμενα των δεδομένων σχετικά με την περίοδο προσβασιμότητας που ισχύει για τα δεδομένα προσωπικού χαρακτήρα που αποθηκεύονται στα μητρώα αφερεγγυότητας, ώστε να μπορούν να ασκήσουν τα δικαιώματά τους, και ιδίως το δικαίωμα διαγραφής των δεδομένων. Εντούτοις, το εν λόγω δικαίωμα δεν ισχύει όταν πρόκειται για αποθήκευση σε πληθώρα ιδιωτικών καταλόγων, στα οποία τα δεδομένα αποθηκεύονται για μεγαλύτερο χρονικό διάστημα.
Κατά τα λοιπά, ακόμη και αν γίνει δεκτό ότι η αποθήκευση, από γραφεία οικονομικών πληροφοριών, δεδομένων που προέρχονται από δημόσια μητρώα είναι νόμιμη, τίθεται το ζήτημα αν οι εγκεκριμένοι σύμφωνα με το άρθρο 40 του ΓΚΠΔ κώδικες δεοντολογίας, οι οποίοι προβλέπουν προθεσμία διαγραφής τριών ετών για την καταχώριση της πτωχευτικής απαλλαγής, πρέπει να ληφθούν υπόψη κατά τη στάθμιση που απαιτείται για την εκτίμηση δυνάμει του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ.
Υπό τις συνθήκες αυτές, το Verwaltungsgericht Wiesbaden (διοικητικό πρωτοδικείο Wiesbaden) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο προδικαστικά ερωτήματα.
Προτάσεις γεν. εισαγγελέα ΔΕΕ
Πρώτον, με τις δημοσιευθείσες προτάσεις του στην υπόθεση C-634/21, ο γενικός εισαγγελέας Priit Pikamäe κατέληξε στο συμπέρασμα ότι, βάσει του άρθρου 22, παράγραφος 1, του ΓΚΠΔ, η αυτοματοποιημένη παραγωγή μιας τιμής πιθανότητας ως προς τη μελλοντική ικανότητα του υποκειμένου των δεδομένων να ανταποκριθεί στις υποχρεώσεις πιστώσεως συνιστά απόφαση η οποία λαμβάνεται αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας –συμπεριλαμβανομένης της κατάρτισης προφίλ– και η οποία παράγει έννομα αποτελέσματα που το αφορούν ή το επηρεάζει σημαντικά με παρόμοιο τρόπο, όταν η εν λόγω τιμή που έχει υπολογιστεί βάσει δεδομένων προσωπικού χαρακτήρα του υποκειμένου των δεδομένων διαβιβάζεται από τον υπεύθυνο επεξεργασίας σε τρίτο υπεύθυνο επεξεργασίας και κάθε τρίτος βασίζει κατά κύριο λόγο την απόφασή του για τη σύναψη, την εκτέλεση ή τη λήξη συμβατικής σχέσεως με το υποκείμενο των δεδομένων στην εν λόγω τιμή.
Επιπλέον, κατά τον γεν. εισαγγελέα, το άρθρο 6, παράγραφος 1, και το άρθρο 22 του ΓΚΠΔ δεν αντιτάσσονται σε εθνική νομοθεσία σχετική με την κατάρτιση προφίλ όταν πρόκειται για κατάρτιση προφίλ διαφορετική από την προβλεπόμενη στο άρθρο 22, παράγραφος 1, του εν λόγω κανονισμού. Εντούτοις, στην περίπτωση αυτή, η εθνική νομοθεσία πρέπει να πληροί τις προϋποθέσεις που προβλέπονται στο άρθρο 6 του ΓΚΠΔ. Ειδικότερα, πρέπει να στηρίζεται σε κατάλληλη νομική βάση, στοιχείο το οποίο απόκειται στο αιτούν δικαστήριο να εξακριβώσει.
Δεύτερον, με τις δημοσιευθείσες προτάσεις του στις συνεκδικαζόμενες υποθέσεις C-26/22 και C-64/22, ο γενικός εισαγγελέας Priit Pikamäe διαπίστωσε ότι από το άρθρο 78, παράγραφος 1, του ΓΚΠΔ προκύπτει ότι η νομικά δεσμευτική απόφαση εποπτικής αρχής υπόκειται σε πλήρη δικαστικό έλεγχο επί της ουσίας. Ακόμα, σύμφωνα με τον γεν. εισαγγελέα, το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ αντιτίθεται στην αποθήκευση, από ιδιωτικό γραφείο οικονομικών πληροφοριών, δεδομένων προσωπικού χαρακτήρα προερχόμενων από δημόσιο μητρώο όπως οι «εθνικές βάσεις δεδομένων», κατά την έννοια του άρθρου 79, παράγραφοι 4 και 5, του κανονισμού (ΕΕ) 2015/848, για διάστημα το οποίο υπερβαίνει εκείνο κατά το οποίο τα δεδομένα αποθηκεύονται στο δημόσιο μητρώο. Απόκειται στο αιτούν δικαστήριο να εξακριβώσει αν η αποθήκευση των δεδομένων κατά το διάστημα που επιτρέπεται για το δημόσιο μητρώο πληροί τις προϋποθέσεις του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ.
Επίσης, ο γεν. εισαγγελέας πρότεινε στο Δικαστηριο να αποφανθεί ότι το υποκείμενο των δεδομένων έχει το δικαίωμα να ζητήσει από τον υπεύθυνο επεξεργασίας τη διαγραφή δεδομένων προσωπικού χαρακτήρα που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση όταν τα εν λόγω δεδομένα υποβλήθηκαν σε επεξεργασία παράνομα κατά τα προβλεπόμενα στο άρθρο 6, παράγραφος 1, του ΓΚΠΔ. Πρόσθετα, το υποκείμενο των δεδομένων έχει, κατ’ αρχήν, το δικαίωμα να ζητήσει από τον υπεύθυνο επεξεργασίας τη διαγραφή δεδομένων προσωπικού χαρακτήρα που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση όταν το υποκείμενο των δεδομένων εναντιώνεται στην επεξεργασία σύμφωνα με το άρθρο 21, παράγραφος 1, του ΓΚΠΔ. Απόκειται στο αιτούν δικαστήριο να εξετάσει αν συντρέχουν, κατ’ εξαίρεση, επιτακτικοί και νόμιμοι λόγοι για την επεξεργασία.
Τέλος, κατά τον γεν. εισαγγελέα, κώδικες δεοντολογίας που καταρτίζονται βάσει του άρθρου 40, παράγραφοι 2 και 5, του ΓΚΠΔ και εγκρίνονται ενδεχομένως από την εποπτική αρχή δεν μπορούν να καθορίζουν με νομικά δεσμευτικό τρόπο προϋποθέσεις νόμιμης επεξεργασίας δεδομένων προσωπικού χαρακτήρα οι οποίες διαφέρουν από εκείνες που ορίζονται στο άρθρο 6, παράγραφος 1, του ΓΚΠΔ.
Γίνεται υπόμνηση ότι οι προτάσεις του γενικού εισαγγελέα δεν δεσμεύουν το Δικαστήριο. Έργο του γενικού εισαγγελέα είναι να προτείνει στο Δικαστήριο, με πλήρη ανεξαρτησία, νομική λύση για την υπόθεση που του έχει ανατεθεί. Η υπόθεση τελεί υπό διάσκεψη στο Δικαστήριο, ενώ η απόφαση θα εκδοθεί αργότερα.
Υπενθυμίζεται ακόμα ότι η διαδικασία εκδόσεως προδικαστικής αποφάσεως παρέχει στα δικαστήρια των κρατών μελών τη δυνατότητα να υποβάλουν στο Δικαστήριο, στο πλαίσιο της ένδικης διαφοράς της οποίας έχουν επιληφθεί, ερώτημα σχετικό με την ερμηνεία του δικαίου της Ένωσης ή με το κύρος πράξεως οργάνου της Ένωσης. Το Δικαστήριο δεν αποφαίνεται επί της διαφοράς που εκκρεμεί ενώπιον του εθνικού δικαστηρίου. Στο εθνικό δικαστήριο εναπόκειται να επιλύσει τη διαφορά αυτή, λαμβάνοντας υπόψη την απόφαση του Δικαστηρίου. Η απόφαση αυτή δεσμεύει, ομοίως, άλλα εθνικά δικαστήρια ενώπιον των οποίων ανακύπτει παρόμοιο ζήτημα.
Το πλήρες κείμενο των προτάσεων, αφενός, στην υπόθεση C-634/21 και, αφετέρου, στις συνεκδικαζόμενες υποθέσεις C-26/22 και C-64/22 είναι διαθέσιμο στον ιστότοπο CURIA
