C-552/21 SCHUFA Holding e.a.

Prejudiciële hofzaak

Zie bijlage voor de verwijzingsuitspraak, en klik hier voor het dossier van het Hof van Justitie (voor zover beschikbaar).

Termijnen: Motivering departement:    27 oktober 2021
Schriftelijke opmerkingen:                    13 december 2021

Trefwoorden : gegevensbescherming, recht op vergetelheid, rechtmatigheid van verwerking, bevoegdheden toezichthouder, databanken

Onderwerp :

-           Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming)

Feiten:

Verzoeker is een zelfstandige op het gebied van financiële dienstverlening die door omstandigheden tot insolventieprocedure over is gegaan, waaruit een kwijtschelding van restschuld volgde. Deze kwijtschelding is door SCHUFA Holding geregistreerd bij een particulier kredietregistratiebureau. Deze registratie is voor verzoeker belastend in zakelijk en privaat opzicht. Daartoe heeft verzoeker getracht conform artikel 21 AVG bezwaar tegen de registratie aan te tekenen, dat door SCHUFA Holding is afgewezen. Vervolgens heeft verzoeker zich verzet tegen deze weigering, aanhalend dat bewaring van de kredietinformatie langer dan een jaar in strijd is met het Unierecht, waartegen SCHUFA Holding heeft ingebracht dat conform artikel 6, lid 1, onder b) en f) gegevens met betrekking tot beoordeling van kredietwaardigheid zo lang als noodzakelijk wordt geacht bewaard mogen worden, ook met het oog op statistische beeldvorming omtrent algemene financiële gedraging van categorieën individuen.

Verzoeker heeft verweerder (Deelstaat Hessen) verzocht de registratie door SCHUFA Holding van de kwijtschelding van restschuld te wissen.

Overweging:

Verzoeker stelt dat een belangenafweging conform artikel 6, lid 1, onder f), niet heeft plaatsgevonden en heeft verzocht om de registratie te wissen in de zin van artikel 17. SCHUFA Holding stelt zich op het standpunt dat artikel 21, lid 1, er niet in is gelezen informatiebeschikking over kredietwaardigheid zoals noodzakelijk in een kredietwaardigheidsonderzoek te onthouden.

Verzoeker verwijt verweerder dat de uiteenzetting ter rechtvaardiging van de bewaring is gebaseerd op standaardformules en dat daarmee geen toereikend onderzoek is gedaan naar de functionaliteit van de systemen dienend tot statistische beeldvorming inzake financieel gedrag foutloos. Ook is volgens de verweerder ontoereikend onderzoek gedaan of relevante wettelijke kaders in acht zijn genomen bij de toepassing van het algemene systeem op individuele gevallen.

Prejudiciële vragen:

1. Moet artikel 77, lid 1, juncto artikel 78, lid 1, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming; hierna: „AVG”; PB 2016, L 119, blz. 1) aldus worden uitgelegd dat de mededeling door de toezichthoudende autoriteit van het resultaat [van haar onderzoek] aan de betrokkene

a) het karakter heeft van een besluit op een verzoekschrift, zodat de rechterlijke toetsing van een besluit van de toezichthoudende autoriteit op een klacht uit hoofde van artikel 78, lid 1, AVG in beginsel beperkt blijft tot de vraag of de toezichthoudende autoriteit de klacht in behandeling heeft genomen, het voorwerp ervan naar behoren heeft onderzocht en de klager over het resultaat van het onderzoek in kennis heeft gesteld? dan wel

b) moet worden opgevat als een door een overheidsinstantie genomen besluit ten gronde, zodat de rechterlijke toetsing van een besluit van de toezichthoudende autoriteit op een klacht overeenkomstig artikel 78, lid 1, AVG ertoe leidt dat dit besluit ten gronde inhoudelijk in zijn geheel door de rechter moet worden getoetst, waarbij die autoriteit in individuele gevallen – bijvoorbeeld wanneer van enige beoordelingsruimte geen sprake meer is – door de rechter ook kan worden verplicht een concrete maatregel in de zin van artikel 58 AVG te nemen?

2. Is de bewaring van gegevens bij een particulier kredietregistratiebureau, waarbij persoonsgegevens uit openbare registers, zoals „nationale databanken”, in de zin van artikel 79, leden 4 en 5, van verordening (EU) 2015/848 van het Europees Parlement en de Raad van 20 mei 2015 betreffende insolventieprocedures (PB 2015, L 141, blz. 19), zonder concrete aanleiding worden bewaard, om in geval van een informatieverzoek te kunnen worden verstrekt, verenigbaar met de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie van 12 december 2007 (hierna: „Handvest”; PB C 303, blz. 1)?

3. Zijn particuliere parallelle databanken (met name databanken van een kredietregistratiebureau), die naast de databanken van de overheid worden opgericht en waarin gegevens uit de databanken van de overheid (in casu bekendmakingen inzake insolventie) langer worden bewaard dan in het strikte kader van verordening (EU) 2015/848 juncto het nationale recht is geregeld, in beginsel toelaatbaar, of blijkt uit het recht op vergetelheid krachtens artikel 17, lid 1, onder d), AVG, dat deze gegevens moeten worden

gewist, wanneer

a) is voorzien in een met het openbare register identieke verwerkingsperiode, of

b) is voorzien in een bewaartermijn die de voor openbare registers vastgestelde termijn overschrijdt?

4. Voor zover artikel 6, lid 1, eerste alinea, onder f), AVG moet worden beschouwd als de enige rechtsgrondslag voor de bewaring bij particuliere kredietregistratiebureaus van gegevens die eveneens in openbare registers worden bewaard, heeft het kredietregistratiebureau dan reeds een gerechtvaardigd belang wanneer het, zonder concrete aanleiding, gegevens uit het openbare register overneemt teneinde deze op verzoek beschikbaar te kunnen stellen?

5. Mogen gedragscodes die door de toezichthoudende autoriteiten overeenkomstig artikel 40 AVG zijn goedgekeurd en voorzien in onderzoekstermijnen en termijnen voor gegevenswissing die langer zijn dan de bewaartermijnen van openbare registers, de krachtens artikel 6, lid 1, eerste alinea, onder f), AVG vereiste belangenafweging opschorten?

Aangehaalde (recente) jurisprudentie: C-645/19 Facebook Ireland Ltd e.a.; C-518/07 Commissie/Duitsland

Specifiek beleidsterrein: JenV, FIN