Βαθμολόγηση και διατήρηση πιστωτικών δεδομένων και προστασία προσωπικών δεδομένων (ΔΕΕ υποθέσεις SCHUFA Holding - C-634/21, C-26/22 και C-64/22)

Ο Γενικός Κανονισμός Προστασίας Δεδομένων (ΓΚΠΔ) αντιτίθεται σε δύο πρακτικές επεξεργασίας δεδομένων από γραφεία οικονομικών πληροφοριών.

Ενώ το scoring επιτρέπεται μόνο υπό ορισμένες προϋποθέσεις, η παρατεταμένη διατήρηση πληροφοριών σχετικά με τη χορήγηση πτωχευτικής απαλλαγής αντίκειται στον ΓΚΠΔ

Ορισμένοι πολίτες αμφισβητούν την άρνηση του αρμόδιου επιτρόπου προστασίας δεδομένων να λάβει μέτρα κατά συγκεκριμένων δραστηριοτήτων της SCHUFA, μιας ιδιωτικής εταιρείας που παρέχει οικονομικές (πιστωτικές) πληροφορίες για πελάτες, συμπεριλαμβανομένων των τραπεζών, ενώπιον του διοικητικού δικαστηρίου του Βισμπάντεν (Γερμανία). Συγκεκριμένα, αντιτίθενται στη "βαθμολόγηση" (scoring) και στην αποθήκευση πληροφοριών σχετικά με τη χορήγηση πτωχευτικής απαλλαγής που λαμβάνονται από δημόσια μητρώα.

Το "scoring" είναι μια μαθηματική στατιστική μέθοδος που χρησιμοποιείται για την πρόβλεψη της πιθανότητας μελλοντικής συμπεριφοράς, όπως η αποπληρωμή ενός δανείου. Οι πληροφορίες σχετικά με τη χορήγηση πιστωτικής απαλλαγής διατηρούνται στο γερμανικό δημόσιο μητρώο αφερεγγυότητας για έξι μήνες, ενώ ένας κώδικας δεοντολογίας για τα γερμανικά γραφεία παροχής οικονομικών πληροφοριών προβλέπει περίοδο διατήρησης τριών ετών για τις δικές τους βάσεις δεδομένων. Το διοικητικό δικαστήριο ζητεί από το Δικαστήριο να διευκρινίσει το πεδίο εφαρμογής της προστασίας των δεδομένων προσωπικού χαρακτήρα, όπως προβλέπεται από τον Γενικό Κανονισμό Προστασίας Δεδομένων.

Ως προς το “scoring”, το Δικαστήριο κρίνει ότι πρέπει να θεωρηθεί ως "αυτοματοποιημένη ατομική απόφαση" που απαγορεύεται κατ' αρχήν από τον ΓΚΠΔ, εφόσον οι πελάτες της SCHUFA, όπως οι τράπεζες, της αποδίδουν καθοριστικό ρόλο στη χορήγηση πιστώσεων. Σύμφωνα με το Διοικητικό Δικαστήριο του Wiesbaden, αυτό συμβαίνει. Στο δικαστήριο αυτό εναπόκειται να εκτιμήσει αν ο γερμανικός ομοσπονδιακός νόμος περί προστασίας δεδομένων περιέχει έγκυρη εξαίρεση από την απαγόρευση αυτή σύμφωνα με τον ΓΚΠΔ. Σε αυτή την περίπτωση, θα πρέπει ακόμη να ελέγξει αν πληρούνται οι γενικές προϋποθέσεις που προβλέπει ο ΓΚΠΔ για την επεξεργασία δεδομένων.

Ως προς τις πληροφορίες σχετικά με τη χορήγηση πτωχευτικής απαλλαγής, το Δικαστήριο θεωρεί ότι η διατήρηση των δεδομένων αυτών από τις ιδιωτικές εταιρείες για χρονικό διάστημα μεγαλύτερο από το εκείνο του δημοσίου μητρώου αφερεγγυότητας αντίκειται στον ΓΚΠΔ. Η πτωχευτική απαλλαγή αποσκοπεί στο να επιτρέψει στο υποκείμενο των δεδομένων να επανέλθει στην οικονομική ζωή και, ως εκ τούτου, έχει υπαρξιακή σημασία για το πρόσωπο αυτό. Η πληροφορία αυτή εξακολουθεί να χρησιμοποιείται ως αρνητικός παράγοντας κατά την αξιολόγηση της φερεγγυότητας του υποκειμένου των δεδομένων. Στην περίπτωση αυτή, ο Γερμανός νομοθέτης έχει προβλέψει την αποθήκευση των δεδομένων για έξι μήνες. Ως εκ τούτου, θεωρεί ότι  μετά το πέρας των έξι μηνών, τα δικαιώματα και τα συμφέροντα του υποκειμένου των δεδομένων υπερισχύουν εκείνων του κοινού για πρόσβαση στις πληροφορίες αυτές.

Στον βαθμό που η διατήρηση των δεδομένων είναι παράνομη, όπως συμβαίνει για το διάστημα πέραν των έξι μηνών, το υποκείμενο των δεδομένων έχει το δικαίωμα να ζητήσει τη διαγραφή των δεδομένων και το γραφείο υποχρεούται να διαγράψει τα δεδομένα το συντομότερο δυνατό.

Όσον αφορά την παράλληλη αποθήκευση των πληροφοριών αυτών από την SCHUFA για τους έξι αυτούς μήνες, εναπόκειται στο διοικητικό δικαστήριο να σταθμίσει τα συμφέροντα που εμπλέκονται προκειμένου να αξιολογήσει τη νομιμότητά της. Σε περίπτωση που καταλήξει στο συμπέρασμα ότι η παράλληλη αποθήκευση για έξι μήνες είναι νόμιμη, το υποκείμενο των δεδομένων θα εξακολουθεί να έχει το δικαίωμα εναντίωσης στην επεξεργασία των δεδομένων του και το δικαίωμα διαγραφής των δεδομένων, εκτός εάν η SCHUFA μπορεί να αποδείξει την ύπαρξη επιτακτικών και νόμιμων λόγων.

Τέλος, το Δικαστήριο τονίζει ότι τα εθνικά δικαστήρια πρέπει να μπορούν να ασκούν πλήρη έλεγχο επί κάθε νομικά δεσμευτικής απόφασης εποπτικής αρχής.

Από το ανακοινωθέν τύπου του Δικαστηρίου της Ευρωπαϊκής Ένωσης