C-26/22 en C-64/22 SCHUFA Holding e.a.  

Prejudiciële hofzaak

Zie bijlage voor de verwijzingsuitspraak, en klik hier voor het dossier van het Hof van Justitie (voor zover beschikbaar).

Termijnen: Motivering departement:    14 maart 2022
Schriftelijke opmerkingen:                    28 april 2022

Trefwoorden : gegevensbescherming, insolventieprocedure, kredietregistratiebureau

Onderwerp :

-           Verordening (EU) 2015/848 van het Europees Parlement en de Raad van 20 mei 2015 betreffende insolventieprocedures

-           Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG

Feiten:

Bij beschikking van 17-12-2020 heeft de Duitse rechter in eerste aanleg geoordeeld dat verzoeker in aanmerking kwam voor vervroegde kwijtschelding van een restschuld. Dit werd geregistreerd op www.insolvenzbekanntmachungen.de. De registratie op deze website wordt na 6 maanden verwijderd. Medegedaagde SCHUFA Holding GmbH heeft deze registratie ook bewaard in haar databank. Verzoeker heeft contact opgenomen met SCHUFA om deze registratie te laten wissen. Volgens SCHUFA is er geen sprake van een onvoorwaardelijk recht op wissing van persoonsgegevens krachtens artikel 17 AVG. De registratie van de kwijtschelding van de restschuld wordt na afloop van 3 jaar gewist. De informatiebehoefte van het handelsverkeer is ook erkend door de wetgever, zodat informatie over de kredietwaardigheid niet mag ontbreken in het kredietinformatiesysteem. Verzoeker stelt dat de bewaring van de kwijtschelding van de restschuld bij SCHUFA onwettig was. De bewaring was niet nodig om belangen te beschermen. Het is onaanvaardbaar dat een kwijtschelding van een restschuld wordt gelijkgesteld met betalingsachterstand die niet is aangezuiverd. Zelfs indien wordt aangenomen dat de gegevens correct zijn verwerkt, was dat na een jaar niet meer nodig. Verweerder (de Duitse toezichthouder voor gegevensbescherming en vrijheid van informatie) heeft verzoeker meegedeeld dat SCHUFA ongunstige registraties aangaande kwijtschelding van een restschuld ook na de periode van kwijtschelding van een vordering mag bewaren. Persoonsgegevens die voor de beoordeling van de kredietwaardigheid nodig zijn, mogen net zo lang worden bewaard als noodzakelijk is voor het doel waarvoor deze bewaring dient. Verzoeker heeft hiertegen hoger beroep ingesteld.

Overweging:

De toezichthoudende autoriteit heeft zich op het standpunt gesteld dat artikel 77, lid 1, AVG niet bepaalt dat de rechter moet toetsen of het besluit op de klacht inhoudelijk juist is. De verwijzende rechter betwijfelt of deze opvatting verenigbaar is met artikel 77, lid 1, AVG. Het volstaat volgens artikel 77, lid 1, AVG juist niet dat de toezichthoudende autoriteit zich ertoe beperkt de klacht in behandeling te nemen, het voorwerp ervan naar behoren te onderzoeken en de betrokkene in kennis te stellen van het resultaat van het onderzoek. Verder gaat het in het onderhavige geval concreet om de registratie en openbare bekendmaking van de kwijtschelding van restschulden op de in opdracht van de Duitse deelstaten door de deelstaat Noordrijn-Westfalen beheerde website „insolvenzbekanntmachungen.de”. In dit verband is het onduidelijk of er een regeling bestaat voor een gezamenlijke procedure overeenkomstig artikel 26 AVG. Daarbij rijst in het licht van artikel 6 en artikel 7 van het Handvest de vraag of de registraties uit de openbare registers één op één kunnen worden overgebracht naar particulier beheerde registers, zonder dat er van een concrete aanleiding tot bewaring van die gegevens bij een particulier kredietregistratiebureau sprake is. Daarnaast stelt de verwijzende rechter dat de registratie van de litigieuze restschuldkwijtschelding in het openbare insolventieregister na zes maanden moet worden gewist, maar door particuliere kredietregistratiebureaus kan deze veel langer, in voorkomend geval nog drie jaar,  worden bewaard, en worden verwerkt met het oog op het verstrekken van informatie. De verwijzende rechter betwijfelt of dit toelaatbaar is. Het is ook zeer twijfelachtig of er sprake is van een gerechtvaardigd algemeen belang dat door de verantwoordelijke of een derde zou worden nagestreefd. Bovendien bepaalt de Duitse wetgever dat de registratie van de kwijtschelding van een restschuld in het insolventieregister slechts gedurende een relatief korte termijn van zes maanden mag worden bewaard. Deze regeling is gebaseerd op artikel 79, lid 5, van verordening 2015/848. Dat recht komt te vervallen bij bewaring in een groot aantal „particuliere” registers, waarin de gegevens vervolgens ook nog langer worden bewaard. Dat leidt tot de fundamentele vraag of gegevens uit de insolventieregisters überhaupt volledig mogen worden overgebracht naar een „particuliere” databank, aangezien een kredietregistratiebureau met een gerechtvaardigd belang hoe dan ook het insolventieregister kan raadplegen, zolang de gegevens daarin worden bewaard. Voor zover het toelaatbaar is dat gegevens uit openbare registers worden bewaard bij particuliere ondernemingen, rijst vervolgens de vraag of de overeenkomstig artikel 40 AVG goedgekeurde particuliere gedragscodes, die voorzien in standaardtermijnen voor het wissen van gegevens, moeten worden betrokken bij de belangenafweging.

Prejudiciële vragen C-26/22 en C-64/22 zijn identiek:

1. Moet artikel 77, lid 1, juncto artikel 78, lid 1, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming; hierna: „AVG”; PB 2016, L 119, blz. 1) aldus worden uitgelegd dat de mededeling door de toezichthoudende autoriteit van het resultaat [van haar onderzoek] aan de betrokkene

a) het karakter heeft van een besluit op een verzoekschrift, zodat de rechterlijke toetsing van een besluit van de toezichthoudende autoriteit op een klacht uit hoofde van artikel 78, lid 1, AVG in beginsel beperkt blijft tot de vraag of de toezichthoudende autoriteit de klacht in behandeling heeft genomen, het voorwerp ervan naar behoren heeft onderzocht en de klager over het resultaat van het onderzoek in kennis heeft gesteld? dan wel

b) moet worden opgevat als een door een overheidsinstantie genomen besluit ten gronde, zodat de rechterlijke toetsing van een besluit van de toezichthoudende autoriteit op een klacht overeenkomstig artikel 78, lid 1, AVG ertoe leidt dat dit besluit ten gronde inhoudelijk in zijn geheel door de rechter moet worden getoetst, waarbij die autoriteit in individuele gevallen — bijvoorbeeld wanneer van enige beoordelingsruimte geen sprake meer is — door de rechter ook kan worden verplicht een concrete maatregel in de zin van artikel 58 AVG te nemen?

2. Is de bewaring van gegevens bij een particulier kredietregistratiebureau, waarbij persoonsgegevens uit openbare registers, zoals „nationale databanken”, in de zin van artikel 79, leden 4 en 5, van verordening (EU) 2015/848 van het Europees Parlement en de Raad van 20 mei 2015 betreffende insolventieprocedures (PB 2015, L 141, blz. 19), zonder concrete aanleiding worden bewaard, om in geval van een informatieverzoek te kunnen worden verstrekt, verenigbaar met de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie van 12 december 2007 (hierna: „Handvest”; PB C 303, blz. 1)?

3a. Zijn particuliere parallelle databanken (met name databanken van een kredietregistratiebureau), die naast de databanken van de overheid worden opgericht en waarin gegevens uit de databanken van de overheid (in casu bekendmakingen inzake insolventie) langer worden bewaard dan in het strikte kader van verordening (EU) 2015/848 juncto het nationale recht is geregeld, in beginsel toelaatbaar?

3b. Indien vraag 3a bevestigend wordt beantwoord, blijkt dan uit het recht op vergetelheid krachtens artikel 17, lid 1, onder d), AVG, dat deze gegevens moeten worden gewist wanneer de in het openbare register vastgestelde verwerkingsperiode is verstreken?

4. Voor zover artikel 6, lid 1, eerste alinea, onder f), AVG moet worden beschouwd als de enige rechtsgrondslag voor de bewaring bij particuliere kredietregistratiebureaus van gegevens die eveneens in openbare registers worden bewaard, heeft het kredietregistratiebureau dan reeds een gerechtvaardigd belang wanneer het, zonder concrete aanleiding, gegevens uit het openbare register overneemt teneinde deze op verzoek beschikbaar te kunnen stellen?

5. Mogen gedragscodes die door de toezichthoudende autoriteiten overeenkomstig artikel 40 AVG zijn goedgekeurd en voorzien in onderzoekstermijnen en termijnen voor gegevenswissing die langer zijn dan de bewaartermijnen van openbare registers, de krachtens artikel 6, lid 1, eerste alinea, onder f), AVG vereiste belangenafweging opschorten?

Aangehaalde (recente) jurisprudentie: Facebook Ireland e.a. (C-645/19), Commissie/Duitsland (C-518/07)

Specifiek beleidsterrein: JenV