Ievads

Pagājušā gada izskaņā Eiropas Savienības Tiesa (turpmāk – EST) pasludināja divus ārkārtīgi būtiskus spriedumus saistībā ar datu subjekta tiesību aizsardzību – vienu lietā C-634/21 SCHUFA Holding, savukārt otru apvienotajās lietās C-26/22 un C-64/22 SCHUFA Holding. EST ar šiem spriedumiem ievērojami stiprina datu subjekta tiesības, vērtējot cita starpā automatizētu varbūtības vērtību iegūšanu par personas spēju nākotnē pildīt maksājumu saistības (scoring),¹ kā arī no publiskā reģistra iegūtu datu par personas atbrīvošanu no atlikušajām parādsaistībām glabāšanas ilgumu.

Būtisku lomu šiem EST spriedumiem piešķirt ne tikai vērtējums scoring metodoloģijas piemērošanā, bet arī konkrētas EST norādes saistībā ar datu subjekta tiesībām iesniegt sūdzību nacionālā datu aizsardzības iestādē un šīs iestādes pienākumu tvērums, izskatot šāda veida sūdzības, kā arī tiesas kompetences robežas, vērtējot nacionālās datu aizsardzības iestādes pieņemto lēmumu par iesniegto sūdzību.

Papildus nozīmīgumu konkrētajiem EST spriedumiem piešķir Eiropas Komisijas jaunais priekšlikums regulai, ar ko paredz papildu procesuālos noteikumus attiecībā uz Vispārīgās datu aizsardzības regulas² (turpmāk – VDAR) īstenošanu.³ Ņemot vērā, ka šobrīd datu subjekts var iesniegt sūdzību, bet Eiropas Savienības (turpmāk – ES) dalībvalstu nacionālās datu aizsardzības iestādes dažādi interpretē cita starpā VDAR prasības saistībā ar sūdzību veidiem un šādu sūdzību izskatīšanas procedūru, paredzēts, ka jaunais priekšlikums cita starpā spēs novērst fragmentāciju nacionālo datu aizsardzības iestāžu praksē, lai tādējādi harmonizētu izpratni par sūdzībām un ar tām saistītām procedūrām, kā arī procesuāliem nosacījumiem. Tomēr uzsverams, ka konkrētais Eiropas Komisijas priekšlikums jaunai regulai atrodas ārpus konkrētā raksta tvēruma, bet tas bija pieminams, ievērojot šī priekšlikuma novitāti.

1. Pamatlietu faktiskie apstākļi

1.1. Apvienotā lieta C-26/22 un C-64/22 SCHUFA Holding

Divas personas UF un AB maksātnespējas procesos ar tiesas nolēmumiem pirms termiņa tika atbrīvotas no atlikušajām parādsaistībām. Kā izriet no Vācijas Maksātnespējas likuma (Insolvenzordnung) 9. panta 1. punkta (redakcija, kas piemērojama pamatlietu faktiskajiem apstākļiem), informācija par abiem maksātnespējas procesiem publiskota publiskā reģistrā, t.i., "oficiāla publiskošana notiek ar vienotu publikāciju internetā visās federālajās zemēs; tā var notikt arī izvilkumu veidā. Parādnieks ir precīzi jāidentificē, it īpaši norādot viņa adresi un uzņēmējdarbības nozari. Publiskošanu uzskata par notikušu, tiklīdz pēc publicēšanas dienas ir pagājušas divas dienas".⁴ Tomēr šāda informācija no publiskā reģistra jādzēš pēc sešiem mēnešiem no attiecīgo nolēmumu spēkā stāšanās dienas atbilstoši Noteikumu par oficiālām publikācijām internetā maksātnespējas procesos (Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet) (turpmāk – InsoBekV) 3. panta 1. un 2. punktam.

SCHUFA, kas ir privāts kredītinformācijas birojs, savās datubāzēs reģistrē un glabā informāciju no publiskiem reģistriem, tostarp informāciju par atbrīvošanu no atlikušajām parādsaistībām. Šī informācija tiek dzēsta pēc tam, kad ir pagājuši trīs gadi kopš brīža, kad tā tikusi reģistrēta.⁵ Ievērojot, ka informācija no publiskā reģistra tika dzēsta, abas personas UF un AB vērsās pie SCHUFA, lūdzot dzēst attiecīgos ierakstus. Tomēr minētais kredītinformācijas birojs atteicās dzēst šos ierakstus, norādot, ka InsoBekV 3. panta 1. punktā paredzētais sešu mēnešu dzēšanas termiņš nav piemērojams attiecībā uz SCHUFA.⁶

Tādēļ abas personas pēc SCHUFA atteikuma vērsās ar sūdzību datu uzraudzības iestādē (Hesenes federālās zemes Datu aizsardzības un informācijas brīvības uzraudzītājs jeb HBDI), kas savukārt uzskatīja, ka SCHUFA veiktā datu apstrāde ir likumīga. Līdz ar to personas UF un AB nolēma vērsties tiesā, uzsverot, ka HBDI, veicot savus uzdevumus, kā arī īstenojot savas pilnvaras, ir pienākums veikt pasākumus pret SCHUFA, lai tādējādi panāktu, ka tiek dzēsti attiecībā uz šīm personām veiktie ieraksti.⁷

Šajā kontekstā HBDI paskaidroja, ka VDAR 77. panta 1. punktā noteiktās datu subjekta tiesības iesniegt sūdzību paredzētas tikai kā tiesības iesniegt lūgumrakstu, kas nozīmē, ka tiesai vienīgi jāpārbauda, vai uzraudzības iestāde izskatījusi sūdzību un informējusi tās iesniedzēju par šīs sūdzības izskatīšanas virzību un iznākumu. Turklāt tiesai nav jāpārbauda, vai pieņemtais lēmums par sūdzību ir pareizs pēc būtības. Tāpat HBDI norādīja, ka kredītinformācijas birojiem pieejamie dati var tikt glabāti tik ilgi, cik tas nepieciešams mērķiem, kādiem tie saglabāti.⁸

1.2. Lieta C-634/21 SCHUFA Holding (Scoring)

SCHUFA papildus iepriekš norādītajai informācijas glabāšanai sniedz saviem līgumpartneriem informāciju arī par trešo personu, tostarp patērētāju, kredītspēju. Lai sagatavotu šāda veida informāciju, pamatojoties uz matemātiskās statistikas metodi, tiek izveidota prognoze par konkrētas personas rīcību nākotnē, piemēram, kredīta atmaksas iespējamību (score). Šādas vērtības noteikšanas metodoloģija (scoring) balstās uz pieņēmumu, ka, ierindojot kādu personu grupā, kurā ir citas personas, kurām ir līdzīgi raksturlielumi un kas rīkojušās kādā konkrētā veidā, iespējams paredzēt līdzīgu rīcību.⁹

Konkrētajā lietā persona OQ saņēma kredīta atteikumu no trešās personas pēc tam, kad SCHUFA bija sagatavojusi un šai trešajai personai nodevusi negatīvu informāciju par OQ. Lai izprastu attiecīgo negatīvo informāciju, persona OQ lūdza SCHUFA sniegt tai informāciju par reģistrētajiem viņas personas datiem, kā arī dzēst tos datus, kas ir kļūdaini. Tomēr, atbildot uz šo lūgumu, SCHUFA informēja OQ par attiecībā uz viņu aprēķināto score vērtību un vispārīgos vilcienos izklāstīja šo vērtību aprēķināšanas kārtību. Vienlaikus, atsaucoties uz komerc­noslēpumu, SCHUFA atteicās izpaust, tieši kāda informācija tikusi ņemta vērā, veicot konkrēto aprēķinu.¹⁰

Tādēļ persona OQ vērsās pie HBDI ar sūdzību, lūdzot apmierināt pieprasījumu par piekļuvi informācijai un šīs informācijas dzēšanu. HBDI noraidīja sūdzību, paskaidrojot, ka nav attiecīgo pierādījumu, ka SCHUFA neievēro Datu aizsardzības likuma (Bundesdatenschutzgesetz) 31. pantā noteiktās prasības. Līdz ar to OQ saistībā ar šo HBDI lēmumu, pamatojoties uz VDAR 78. panta 1. punktu, vērsās tiesā.¹¹

2. Automatizēta lēmumu pieņemšana

Ņemot vērā, ka trešajai personai lietā Nr. C-634/21 SCHUFA Holding tiek sniegts personas kredītspējas aprēķina rezultāts, kas iegūts, izmantojot scoring metodoloģiju, iesākumā EST vērtēja, vai šāds personas kredītspējas aprēķina rezultāts ietilpst VDAR 22. panta 1. punktā norādītā lēmuma tvērumā.

Kā to uzsvēra EST, datu subjektam ir tiesības nebūt tāda lēmuma subjektam, kura pamatā ir tikai automatizēta apstrāde, tostarp profilēšana, kas attiecībā uz datu subjektu rada tiesiskās sekas vai kas līdzīgā veidā ievērojami ietekmē datu subjektu (VDAR 22. panta 1. punkts). Turklāt EST atgādināja, ka VDAR 22. panta 1. punkta piemērošana pakļauta trim kumulatīviem nosacījumiem, t.i.:¹²

1) ir jābūt lēmumam,

2) šim lēmumam jābūt tādam, kura pamatā ir tikai automatizēta apstrāde, tostarp profilēšana, un

3) tam attiecībā uz datu subjektu jārada tiesiskās sekas vai arī šis datu subjekts līdzīgā veidā ievērojami jāietekmē.

Saistībā ar pirmo kritēriju EST norādīja, ka jēdziens "lēmums" VDAR 22. panta 1. punktā nav definēts. Tomēr šis jēdziens attiecas ne tikai uz aktiem, kas rada tiesiskas sekas konkrētai personai, bet arī uz tādiem aktiem, kas personu būtiski ietekmē līdzīgā veidā.¹³ Tādēļ, ievērojot, ka jēdziens "lēmums" VDAR 22. panta 1. punkta izpratnē var ietvert vairākus aktus, kas var skart datu subjektu vairākos veidos, šis jēdziens ir pietiekami plašs, lai ietvertu personas kredītspējas aprēķina rezultātu, kas izteikts kā varbūtības vērtība attiecībā uz šīs personas spēju pildīt maksājumu saistības nākotnē.¹⁴

Attiecībā uz otro kritēriju EST norādīja, ka lēmumam VDAR 22. panta 1. punkta izpratnē jābūt tādam, kura pamatā ir tikai automatizēta datu apstrāde, tostarp profilēšana. Šajā kontekstā EST uzsvēra, ka SCHUFA darbība atbilst VDAR 4. panta 4. punktā atrodamajai profilēšanas definīcijai un tādējādi šis nosacījums ir izpildīts.¹⁵ Savukārt saistībā ar trešo kritēriju EST norādīja, ka trešā persona, kurai tiek nodota šāda varbūtības vērtība, šai vērtībai piešķir izšķirošu nozīmi, un tādējādi gadījumā, ja patērētājs lūdz aizdevumu bankai, negatīva varbūtības vērtība gandrīz visos gadījumos izraisa bankas atteikumu piešķirt lūgto aizdevumu.¹⁶ Minētais nozīmē, ka šāda varbūtības vērtība būtiski ietekmē datu subjektu un līdz ar to izpildās trešais kritērijs.¹⁷

Tādējādi, ievērojot norādītos apsvērumus, EST nonāca pie secinājuma, ka varbūtības vērtībai, ko ieguvis kredītinformācijas birojs un kura tiek paziņota bankai, ir izšķiroša nozīme kredīta piešķiršanā. Tādēļ šīs vērtības iegūšana pati par sevi ir kvalificējama kā lēmums, kas datu subjektam rada tiesiskās sekas vai to līdzīgā veidā ievērojami ietekmē VDAR 22. panta 1. punkta izpratnē.¹⁸

Vienlaikus EST norādīja, ka lēmuma pieņemšana, pamatojoties tikai uz automatizētu apstrādi, ir atļauta tikai VDAR 22. panta 2. punktā minētajos gadījumos,¹⁹ tomēr ir jābūt paredzētiem atbilstīgiem pasākumiem datu subjekta tiesību un brīvību, kā arī leģitīmo interešu aizsardzībai.²⁰ Turklāt tādas automatizētas lēmuma pieņemšanas gadījumā kā VDAR 22. panta 1. punktā minētā:²¹

1) pirmkārt, pārzinim ir papildu informēšanas pienākumi saskaņā ar VDAR 13. panta 2. punkta f) apakšpunktu, kā arī 14. panta 2. punkta g) apakšpunktu;

2) otrkārt, datu subjektam saskaņā ar VDAR 15. panta 1. punkta h) apakšpunktu ir tiesības no pārziņa saņemt jēgpilnu informāciju par datu apstrādē ietverto loģiku, kā arī šādas apstrādes nozīmīgumu un paredzamajām sekām attiecībā uz datu subjektu.

Papildus EST norādīja, ka, ja tiktu pieļauts, ka varbūtības vērtības iegūšana jāuzskata tikai par sagatavojošu aktu un tikai trešās personas pieņemts akts var tikt kvalificēts kā "lēmums" VDAR 22. panta 1. punkta izpratnē, pastāvētu VDAR 22. panta apiešanas risks.²² Līdz ar to, ņemot vērā, ka šāda varbūtības vērtības iegūšana ietilpst VDAR 22. panta 1. punkta piemērošanas jomā, EST secināja, ka tā ir aizliegta, ja vien nav piemērojams kāds no VDAR 22. panta 2. punktā minētajiem izņēmumiem un ir ievērotas minētās regulas 22. panta 3. un 4. punktā paredzētās īpašās prasības (piemēram, datu subjekta nepārprotama piekrišana).²³

Turklāt, kā to uzsvēra EST, ikvienai personas datu apstrādei jābūt gan atbilstīgai datu apstrādes principiem, kas noteikti VDAR 5. pantā, gan jāatbilst vienam no šīs regulas 6. pantā uzskaitītajiem apstrādes likumīguma nosacījumiem. Vienlaikus saskaņā ar VDAR 5. panta 2. punktā noteikto pārskatatbildības principu pārzinim jāspēj pierādīt, ka šie principi tiek ievēroti.²⁴ Līdz ar to EST nonāca pie secinājuma, ka dalībvalstis saskaņā ar VDAR 22. panta 2. punkta b) apakšpunktu nedrīkst pieņemt tiesiskos regulējumus, kas atļauj profilēšanu, neievērojot VDAR 5. un 6. pantā noteiktās prasības.²⁵

3. Sūdzība, kas iesniegta uzraudzības iestādei, nav lūgumraksts

HBDI apvienotajās lietās C-26/22 un C-64/22, SCHUFA Holding uzskatīja, ka VDAR 77. panta 1. punktā noteiktās tiesības iesniegt sūdzību paredzētas tikai kā tiesības iesniegt lūgumrakstu un attiecīgi tiesai vienīgi jāpārbauda, vai uzraudzības iestāde ir izskatījusi sūdzību un informējusi tās iesniedzēju par šīs sūdzības izskatīšanas virzību un iznākumu, jo šāds ir lūgumraksta procedūras tvērums. Turklāt tiesai nav jāpārbauda, vai uzraudzības iestādes pieņemtais lēmums par sūdzību ir pareizs pēc būtības.²⁶

Tādēļ, atbildot uz šādiem apgalvojumiem, EST, pirmkārt, norādīja, ka sūdzības procedūra nav pielīdzināma lūgumraksta procedūrai. Šāda sūdzības procedūra izveidota kā mehānisms, ar kuru var efektīvi aizsargāt datu subjektu tiesības un intereses. Otrkārt, EST vērsa uzmanību, ka ikvienam datu subjektam ir tiesības uz efektīvu tiesību aizsardzību tiesā saskaņā ar Pamattiesību hartas (turpmāk – Harta) 47. pantu.²⁷

3.1. VDAR 77. panta 1. punktā paredzētā sūdzības procedūra

EST iesākumā atgādināja, ka no Hartas 8. panta 3. punkta, kā arī VDAR 51. panta 1. punkta un 57. panta 1. punkta a) apakšpunkta nacionālajām uzraudzības iestādēm izriet pienākums pārbaudīt, vai ir ievēroti ES noteikumi par fizisku personu aizsardzību attiecībā uz personas datu apstrādi.²⁸ Katrai nacionālajai uzraudzības iestādei savā teritorijā ir pienākums izskatīt sūdzības, kuras ikviena persona atbilstoši VDAR 77. panta 1. punktam ir tiesīga iesniegt, ja tā uzskata, ka tās personas datu apstrāde veikta, pārkāpjot minēto regulu. Turklāt uzraudzības ie­stādei šāda sūdzība jāizskata ar visu pienācīgo rūpību.²⁹

Tāpat atbilstoši VDAR 58. panta 1. punktam katrai nacionālajai uzraudzības iestādei piešķirtas ievērojamas izmeklēšanas pilnvaras saistībā ar sūdzību izskatīšanu. Līdz ar to, ja tiek konstatēts VDAR tiesību normu pārkāpums, šai iestādei pienācīgi jārīkojas, lai novērstu konstatēto pārkāpumu.³⁰

3.2. Nacionālās tiesas kompetence, izskatot prasības par nacionālajām uzraudzības iestādēm

EST, vērtējot nacionālo tiesu kompetenci, kad tās izskata prasības par nacionālajām uzraudzības iestādēm, norādīja, ka ievērojot plašās pilnvaras, kas datu uzraudzības iestādei piešķirtas saskaņā ar VDAR, prasība par efektīvu tiesību aizsardzību tiesā netiktu izpildīta, ja lēmumi par to, kā uzraudzības iestāde īsteno izmeklēšanas pilnvaras vai koriģējošos pasākumus, būtu pakļauta ierobežotai pārbaudei tiesā.³¹

Tas tā ir, jo tiesām, kas izskata prasību par nacionālās datu uzraudzības iestādes lēmumu, jāizskata visi jautājumi, kas saistīti ar izskatāmo strīdu.³² Līdz ar to EST norādīja, ka VDAR 78. panta 1. punkts nav interpretējams tādējādi, ka pārbaude tiesā, kas tiek veikta attiecībā uz datu uzraudzības iestādes pieņemtu lēmumu par sūdzību, attiektos tikai uz jautājumu, vai šī iestāde izskatījusi sūdzību, pienācīgi izmeklējusi tās priekšmetu un informējusi sūdzības iesniedzēju par izmeklēšanas rezultātiem. Gluži pretēji, lai tiesību aizsardzība tiesā būtu efektīva, šādam datu uzraudzības iestādes lēmumam jābūt pakļautam pilnīgai pārbaudei tiesā.³³

4. Datu apstrādes likumība

Kā izriet no VDAR 5. panta 1. punkta a) apakšpunkta, personas dati jāapstrādā likumīgi, godprātīgi un datu subjektam pārredzamā veidā.³⁴ Kā iepriekš vairākkārt norādījusi EST, VDAR 6. panta 1. punkta pirmajā daļā ietverts izsmeļošs un ierobežojošs to gadījumu uzskaitījums, kuros personas datu apstrādi var uzskatīt par likumīgu. Tādējādi, lai personas datu apstrādi varētu uzskatīt par likumīgu, uz to jāattiecas kādam no VDAR 6. panta 1. punktā paredzētajiem gadījumiem.³⁵

Apvienotajās lietās C-26/22 un C-64/22 SCHUFA Holding personu datu apstrādes likumīguma vērtējums tika veikts, ņemot vērā VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktā noteikto.³⁶ Kā to atzinusi EST, minētajā tiesību normā paredzēti trīs kumulatīvi nosacījumi, lai personas datu apstrāde būtu likumīga:³⁷

1) pirmkārt, pārziņa vai trešās personas leģitīmu interešu esamība,

2) otrkārt, nepieciešamība apstrādāt personas datus šo leģitīmo interešu ievērošanai un,

3) treškārt, nosacījums, ka neprevalē tās personas intereses vai pamattiesības un pamatbrīvības, uz kuru attiecas datu aizsardzība.

EST uzsvēra, ka konkrētajās apvienotajās lietās šāda personas datu apstrāde kalpo SCHUFA ekonomiskajām interesēm, kā arī palīdz īstenot tās līgumpartneru leģitīmās intereses novērtēt personu kredītspēju un attiecīgi arī kredītu nozares sociālekonomiskās intereses.³⁸ Tādēļ, no vienas puses, EST, atsaucoties uz Direktīvu 2008/48,³⁹ atgādināja, ka pirms kredītlīguma noslēgšanas kreditoram jānovērtē patērētāja kredītspēja, pamatojoties uz pietiekamu informāciju, tostarp vajadzības gadījumā ziņām, kas iegūtas no publiskām un privātām datubāzēm.⁴⁰ Tomēr tajā pašā laika EST vērsa uzmanību uz to, ka jāsamēro tādas pretnostatītās intereses kā pārziņa un iesaistīto trešo personu intereses ar datu subjekta interesēm.⁴¹

Tādēļ VDAR 6. panta 1. punkta pirmās daļas f) apakšpunkts jāinterpretē tādējādi, ka šādu personas datu apstrādi var uzskatīt par nepieciešamu pārziņa vai trešās personas leģitīmo interešu mērķiem šīs tiesību normas izpratnē vienīgi tad, ja šī apstrāde:⁴²

1) tiek veikta šo leģitīmo interešu īstenošanai;

2) tikai absolūti nepieciešamajā apmērā;

3) ja no pretnostatīto interešu samērošanas, kas veikta, ņemot vērā visus nozīmīgos apstākļus, izriet, ka attiecīgās apstrādes datu subjektu intereses vai pamattiesības un pamatbrīvības neprevalē pār minētajām pārziņa vai trešās personas leģitīmajām interesēm.

Konkrētajās apvienotajās lietās tiek aplūkoti divi personas datu apstrādes aspekti. Pirmkārt, šī apstrāde ietver datu daudzveidīgu glabāšanu, t.i., ne tikai publiskā reģistrā, bet arī kredītinformācijas biroju datubāzēs (privātajā reģistrā). Turklāt šie biroji personas datu glabāšanu veic nevis saistībā ar kādu konkrētu iemeslu, bet gadījumā, ja to līgumpartneri tiem pieprasītu šādu informāciju. Otrkārt, minētie uzņēmumi šos datus glabā trīs gadus, pamatojoties uz rīcības kodeksu, kas apstiprināts VDAR 40. panta izpratnē, lai gan dalībvalsts tiesību aktos attiecībā uz publisko reģistru paredzēts tikai sešu mēnešu ilgs glabāšanas termiņš.⁴³

Tādēļ visupirms EST norādīja, ka nacionālajai tiesai jāpārbauda, vai SCHUFA ar attiecīgo personas datu glabāšanu savās datubāzēs nepārsniedz to, kas absolūti nepieciešams leģitīmo interešu īstenošanai, ja ar attiecīgajiem datiem iespējams iepazīties publiskajā reģistrā un konkrētajā gadījumā ziņas nav pieprasījis neviens komercuzņēmums. Vienlaikus EST vērsa uzmanību, ka, ja neapstiprinās leģitīmo interešu īstenošanas mērķis, SCHUFA veiktā datu glabāšana laikposmā, kamēr tie ir publiski pieejami, nevar tikt uzskatīta par nepieciešamu.⁴⁴

Papildus saistībā ar leģitīmām interesēm EST vērsa uzmanību, ka kredītinformācijas biroja veiktā analīze ļauj izlīdzināt atšķirības informētībā un tādējādi mazināt krāpšanas riskus, kā arī citas neskaidrības.⁴⁵ Tomēr tajā pašā laikā kredītinformācijas birojam, apstrādājot datus par atbrīvošanu no atlikušajām parādsaistībām, tiek nopietni aizskartas Hartas 7. un 8. pantā garantētās datu subjekta pamattiesības. Tas tā ir, jo šādi dati tiek izmantoti kā negatīvs faktors datu subjekta kredītspējas novērtējumā. Tāpat EST norādīja, ka, jo ilgāk attiecīgos personas datus kredītinformācijas biroji glabā, jo lielāka ir ietekme uz datu subjekta interesēm un privāto dzīvi, kā arī augstākas ir prasības attiecībā uz šīs informācijas glabāšanas likumīgumu.⁴⁶

Turklāt EST vērsa uzmanību, ka Vācijas likumdevējs ir noteicis, ka informācija par atbrīvošanu no atlikušajām parādsaistībām maksātnespējas reģistrā tiek glabāta tikai sešus mēnešus. Līdz ar to pēc sešu mēnešu termiņa beigām datu subjekta tiesības un intereses prevalē pār sabiedrības tiesībām un interesēm iepazīties ar šo informāciju.⁴⁷ Turklāt atbrīvošana no atlikušajām parādsaistībām ir domāta tam, lai ļautu to saņēmušajai personai no jauna piedalīties saimnieciskajā dzīvē. Tādēļ, ja kredītinformācijas biroji nolūkā novērtēt personas ekonomisko situāciju varētu saglabāt datus par atbrīvošanu no atlikušajām parādsaistībām un izmantot šādus datus pēc tam, kad tie ir dzēsti no publiskā maksātnespējas reģistra, nevarētu tikt sasniegts norādītais mērķis, jo minētie dati tiek izmantoti kā negatīvs faktors, novērtējot attiecīgu personu kredītspēju. Tāpat EST norādīja, ka vienu un to pašu personas datu atrašanās vairākos avotos pastiprina personas tiesību uz privāto dzīvi aizskārumu.⁴⁸

Savukārt attiecībā uz rīcības kodeksu EST uzsvēra, ka, lai arī saskaņā ar VDAR 40. panta 1. un 2. punktu rīcības kodeksa mērķis ir veicināt VDAR atbilstīgu piemērošanu, tomēr šādā kodeksā paredzētie personas datu apstrādes likumīguma nosacījumi nevar atšķirties no VDAR 6. panta 1. punktā paredzētajiem nosacījumiem, kā tas ir šajā gadījumā. Līdz ar to rīcības kodekss, kura dēļ vērtējuma iznākums atšķiras no tā, kas iegūts, piemērojot VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktu, nav ņemams vērā.⁴⁹

5. VDAR 17. panta piemērošana

Kā izriet no VDAR 17. panta 1. punkta d) apakšpunkta, datu subjektam ir tiesības panākt, lai pārzinis bez nepamatotas kavēšanās dzēstu datu subjekta personas datus, un pārziņa pienākums ir bez nepamatotas kavēšanās dzēst personas datus, ja personas dati apstrādāti nelikumīgi. Tādēļ EST norādīja, ka, ja gadījumā nacionālā tiesa nonāks pie secinājuma, ka datu apstrāde apvienotajās lietās attiecībā uz personām UF un AB nav likumīga, pārzinim, kas šajā gadījumā ir SCHUFA, attiecīgie dati pēc iespējas ātrāk jādzēš.⁵⁰

Savukārt par datu apstrādi, kas veikta sešu mēnešu laikposmā, kad dati pieejami publiskajā maksātnespējas reģistrā, EST uzsvēra, ka, ja nacionālā tiesa secinās, ka šāda apstrāde atbilst VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktam, jāpiemēro VDAR 17. panta 1. punkta c) apakšpunkts.⁵¹ Respektīvi, šī tiesību norma paredz tiesības uz personas datu dzēšanu, ja datu subjekts iebilst pret apstrādi saskaņā ar VDAR 21. panta 1. punktu. Minētais nozīmē, ka pārzinis personas datus vairs neapstrādā, ja vien nepierāda, ka šāda apstrāde ir nepieciešama tādu pārliecinošu leģitīmu apstrādes iemeslu dēļ, kas ir svarīgāki par datu subjekta interesēm, tiesībām un brīvībām, vai arī tālab, lai īstenotu vai aizstāvētu likumīgas prasības.⁵² Tas attiecīgi nozīmē, ka, ja pārzinim neizdodas sniegt šādu pierādījumu, datu subjektam ir tiesības pieprasīt personas datu dzēšanu, pamatojoties uz VDAR 17. panta 1. punkta c) apakšpunktu.⁵³

Kopsavilkums

1. Varbūtības vērtībai, ko ieguvis kredītinformācijas birojs un kura tiek paziņota bankai, ir izšķiroša nozīme kredīta piešķiršanā. Tādēļ šīs vērtības iegūšana pati par sevi ir kvalificējama kā lēmums, kas datu subjektam rada tiesiskās sekas vai to līdzīgā veidā ievērojami ietekmē VDAR 22. panta 1. punkta izpratnē.

2. Dalībvalstis saskaņā ar VDAR 22. panta 2. punkta b) apakšpunktu nedrīkst pieņemt tiesiskos regulējumus, kas atļauj profilēšanu, neievērojot VDAR 5. un 6. pantā noteiktās prasības.

3. Kā izriet no Hartas 8. panta 3. punkta, kā arī VDAR 51. panta 1. punkta un 57. panta 1. punkta a) apakšpunkta, nacionālo uzraudzības iestāžu pienākums ir pārbaudīt, vai ir ievēroti ES noteikumi par fizisku personu aizsardzību attiecībā uz personas datu apstrādi. Turklāt ne tikai atbilstoši VDAR 58. panta 1. punktam katrai nacionālajai uzraudzības iestādei piešķirtas ievērojamas izmeklēšanas pilnvaras saistībā ar sūdzību izskatīšanu, bet katrai nacionālajai uzraudzības iestādei savā teritorijā ir pienākums izskatīt sūdzības, kuras ikviena persona atbilstoši VDAR 77. panta 1. punktam ir tiesīga iesniegt.

4. Savukārt tiesai, vērtējot nacionālo uzraudzības ie­stāžu lēmumus saistībā ar to izskatītām sūdzībām, jāno­drošina efektīva tiesību aizsardzība tiesā. Tas nozīmē, ka tiesas kompetence šajā jautājumā nevar tikt ierobežota ar daļēju nacionālās uzraudzības iestādes lēmuma pārbaudi. Tas tā ir, jo tiesām, kas izskata prasību par nacionālās datu uzraudzības iestādes lēmumu, jāizskata visi jautājumi, kas saistīti ar izskatāmo strīdu.

5. Datu pārzinim personas dati vairs nav jāapstrādā, ja vien tas nepierāda, ka šāda apstrāde ir nepieciešama tādu pārliecinošu leģitīmu apstrādes iemeslu dēļ, kas ir svarīgāki par datu subjekta interesēm, tiesībām un brīvībām, vai arī tālab, lai īstenotu vai aizstāvētu likumīgas prasības. Tas attiecīgi nozīmē, ka, ja pārzinim neizdodas sniegt šādu pierādījumu, datu subjektam ir tiesības pieprasīt personas datu dzēšanu, cita starpā pamatojoties uz VDAR 17. panta 1. punkta c) apakšpunktu.