I.

Bevezetés

1.

A Verwaltungsgericht Wiesbaden (wiesbadeni közigazgatási bíróság, Németország) által az EUMSZ 267. cikk alapján benyújtott jelen előzetes döntéshozatal iránti kérelmek az Európai Unió Alapjogi Chartája (a továbbiakban: Charta) 7. és 8. cikkének, valamint a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános adatvédelmi rendelet) szóló 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet ( 2 ) (a továbbiakban: általános adatvédelmi rendelet) 6. cikke (1) bekezdése első albekezdése f) pontjának, 17. cikke (1) bekezdése d) pontjának, 40. cikkének, 77. cikke (1) bekezdésének és 78. cikke (1) bekezdésének értelmezésére vonatkoznak.

2.

E kérelmek két jogvita részét képezik, amelyek egyrészről UF (C‑26/22. sz. ügy), illetve AB (C‑64/22. sz. ügy), másrészről a Hessischer Beauftragte für Datenschutz und Informationsfreiheit (Hessen szövetségi tartomány adatvédelmi biztosa, Németország, a továbbiakban: HBDI) által képviselt Land Hessen (Hessen szövetségi tartomány, Németország) között, az UF és AB által a HBDI‑hez benyújtott, fennmaradó tartozás elengedésére vonatkozó bejegyzésnek a SCHUFA Holding AG‑nál (a továbbiakban: SCHUFA) történő törlésére irányuló kérelmek tárgyában állnak fenn.

3.

A két ügy számos új jogi kérdést vet fel, többek között a felügyeleti hatóság által az elé terjesztett panaszra vonatkozóan hozott határozat jogi jellegével, valamint a bíróság által az ilyen határozat elleni fellebbezés során gyakorolható bírósági felülvizsgálat terjedelmével kapcsolatban. Ezen ügyek a közhiteles nyilvántartásokból származó személyes adatok gazdasági információs magánvállalkozásoknál történő tárolásának jogszerűségével kapcsolatos kérdést is érintik.

II.

Jogi háttér

A.

Az uniós jog

1.

Az (EU) 2015/848 rendelet

4.

A fizetésképtelenségi eljárásról szóló, 2015. május 20‑i (EU) 2015/848 európai parlamenti és tanácsi rendelet ( 3 ) 79. cikkének (4) és (5) bekezdése szerint:

2.

Az általános adatvédelmi rendelet

5.

Az általános adatvédelmi rendelet 5. cikke (1) bekezdésében a következőképpen rendelkezik:

6.

E rendelet 6. cikkének (1) bekezdése a következőképpen rendelkezik:

7.

Az általános adatvédelmi rendelet 17. cikkének (1) bekezdése előírja:

8.

A rendelet 21. cikkének (1) bekezdése előírja:

9.

Az említett rendelet 40. cikke szerint:

10.

Az általános adatvédelmi rendelet 77. cikkének (1) bekezdése előírja:

11.

E rendelet 78. cikke kimondja:

B.

A német jog

12.

Az Insolvenzordnungnak (a fizetésképtelenségi eljárásról szóló törvény) az alapügyek tényállásai idején hatályos 9. §‑a (1) bekezdésében az alábbiak szerint rendelkezik:

13.

A Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (a fizetésképtelenségi eljárásokhoz kapcsolódó, az interneten közzétett hirdetményekről szóló rendelet a továbbiakban: InsBekV) 3. §‑ának (1) és (2) bekezdése kimondja:

III.

A jogviták alapját képező tényállás, az alapeljárások és az előzetes döntéshozatalra előterjesztett kérdések

14.

Az UF‑re és AB‑re vonatkozó fizetésképtelenségi eljárások keretében 2020. december 17‑én, illetve 2021. március 23‑án kiadott bírósági végzés e személyek fennmaradó tartozásainak idő előtti elengedéséről rendelkezett. A fizetésképtelenségi eljárásról szóló törvény 9 §‑ának (1) bekezdése és az InsBekV 3. §‑ának (1) és (2) bekezdése értelmében e körülményt hivatalosan közzétették az interneten, amely információt hat hónap elteltével eltávolítottak.

15.

A SCHUFA, egy gazdasági információs magánvállalkozás az idő előtti tartozáselengedésekre vonatkozóan közzétett információkat tárol az adatbázisában, azonban csak a bejegyzést követő három év elteltével törli azokat.

16.

UF és AB kérelmére – amelyben a rájuk vonatkozó bejegyzések törlését kérik – válaszul a SCHUFA arról tájékoztatta őket, hogy tevékenysége megfelel az általános adatvédelmi rendeletnek, és hogy nem alkalmazhatja az InsBekV 3. §‑ának (1) bekezdésében előírt hathónapos törlési határidőt. Ezután mind UF, mind AB panaszt nyújtott be az adatvédelmi biztoshoz mint illetékes felügyeleti hatósághoz.

17.

E panaszokat az adatvédelmi biztos a 2021. március 1‑jén, illetve 2021. július 9‑én kiadott két véleményében bírálta el. Véleménye szerint a SCHUFA tárolhat tartozáselengedésre vonatkozó negatív bejegyzéseket a tartozáselengedés időszakán túlmenően.

18.

Az adatvédelmi biztos véleményével szemben mind UF, mind AB fellebbezést nyújtott be a Verwaltungsgericht Wiesbadenhez (wiesbadeni közigazgatási bíróság), a kérdést előterjesztő bírósághoz. Ebben arra hivatkoznak, hogy az adatvédelmi biztos feladatai és hatáskörei keretében köteles intézkedéseket tenni a SCHUFA‑val szemben a rájuk vonatkozó bejegyzések törlésének kikényszerítése érdekében.

19.

E tekintetben a kérdést előterjesztő bíróság úgy véli, hogy először is tisztázni kell a felügyeleti hatóság által az általános adatvédelmi rendelet 77. cikkének (1) bekezdése alapján benyújtott panasz alapján hozott határozat jogi jellegét. E bíróság kifejti, hogy az adatvédelmi biztos által kiadott vélemény értelmében a 77. cikk (1) bekezdésében foglalt jog petíciós jognak tekinthető. Így csak korlátozott bírósági felülvizsgálat alá tartozik, amely annak ellenőrzésére korlátozódik, hogy a felügyeleti hatóság foglalkozott‑e a panasszal, tájékoztatta‑e a panaszost az eljárási fejleményekről és a panasz eredményéről. Ezzel szemben a bíróságnak nem kell felülvizsgálnia a panaszról szóló határozat érdemi helyességét.

20.

Az említett bíróságnak azonban kétségei vannak ezen elemzésnek az általános adatvédelmi rendelettel való összeegyeztethetőségét illetően. Véleménye szerint ugyanis e rendelet 78. cikkének (1) bekezdése hatékony bírósági jogorvoslatot ír elő. Tekintettel e rendelet céljára, ami a Charta 7. és 8. cikkének végrehajtása keretében a természetes személyek alapvető jogainak és szabadságainak hatékony védelmére irányul, a panasztételhez való jog kezelése nem értelmezhető megszorítóan. A kérdést előterjesztő bíróság ezért arra az értelmezésre hajlik, hogy a bíróságnak teljeskörűen felül kell vizsgálnia a felügyeleti hatóság érdemi határozatát, figyelemmel azonban arra, hogy e hatóság egyszerre rendelkezik értékelési és mérlegelési jogkörrel, és hogy csak akkor kötelezhető eljárásra, ha nem állapíthatók meg jogszerű alternatívák.

21.

Másodszor, a kérdést előterjesztő bíróság megkérdőjelezi a közhiteles nyilvántartásokból származó adatok gazdasági információs magánvállalkozások általi tárolásának jogszerűségét. E tekintetben a bíróság egyértelművé teszi, hogy ezek a társaságok megkapják az államtól a közhiteles nyilvántartásokban, a jelen ügyben az adósok nyilvántartásában és a fizetésképtelenségi nyilvántartásban szereplő valamennyi bejegyzést. Ezek az adatok az adatvédelmi biztos szerint a hitelképesség értékelésére szolgálnak, és mindaddig tárolhatók, ameddig az az adattárolás céljához szükséges. Ezen túlmenően a nemzeti jogalkotó szabályozásának hiányában a felügyeleti hatóságok magatartási kódexeket fogadtak el a gazdasági információs vállalkozások szövetségével közösen, amelyek pontosan az adott gazdasági információs vállalkozás adatbázisába való bejegyzést követő három év elteltével történő törlést írnak elő.

22.

A kérdést előterjesztő bíróság szerint a Charta 7. és 8. cikkére tekintettel felmerül a kérdés, hogy a közhiteles nyilvántartásokban szereplő bejegyzések átvihetők‑e egy az egyben magánnyilvántartásokba, anélkül hogy a gazdasági információs magánvállalkozásnál történő adattárolásnak konkrét indoka lenne. Ez végeredményben az adatok készletre való felhalmozását eredményezi, különösen akkor, ha a nemzeti nyilvántartásban már törölték az adatokat a tárolási határidő lejárta miatt. Egyébként a SCHUFA csak egyike a számos információs vállalkozásnak, és ennélfogva Németországban sokszor tárolják ilyen módon többszörözve az adatokat, ami az Alapjogi Charta 7. cikkéből eredő alapvető jog súlyos megsértését jelenti.

23.

A kérdést előterjesztő bíróság hozzáteszi, hogy az adatok kezelése és tárolása csak akkor megengedett, ha az általános adatvédelmi rendelet 6. cikkének (1) bekezdésében előírt feltételek valamelyike teljesül, és megállapítja, hogy a jelen ügyben kizárólag az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének f) pontja jöhet szóba. Márpedig kétséges, hogy egy olyan adatkezelő, mint amilyen a SCHUFA, rendelkezik‑e az e rendelkezés értelmében vett jogos érdekkel. Mindenesetre a fizetésképtelenségi nyilvántartásból való lekérdezés jogos érdek esetén mindaddig lehetséges a gazdasági információs vállalkozás számára, amíg az adatokat e nyilvántartásban tárolják.

24.

Ezenkívül a német jogalkotó az InsBekV 3. §‑ában a tartozáselengedésnek csak a fizetésképtelenségi nyilvántartásban történő viszonylag rövid, hat hónapos tárolását írja elő. E szabályozás a 2015/848 rendelet 79. cikkének (5) bekezdésén alapul, amely szerint az érintettek jogainak, különösen az adattörléshez való jog gyakorlásának lehetővé tétele érdekében a tagállamok tájékoztatják az érintetteket arról, hogy a fizetésképtelenségi nyilvántartásokban tárolt személyes adataikhoz való hozzáférés céljára milyen időtartam áll a rendelkezésükre. Ez a jog azonban megszűnik számos olyan magánnyilvántartásban történő tárolás esetén, amelyekben az adatokat hosszabb ideig tárolják.

25.

Végül, még ha elismernénk is, hogy a közhiteles nyilvántartásokból származó adatok gazdasági információs társaságoknál történő tárolása jogszerű, felmerül a kérdés, hogy az általános adatvédelmi rendelet 40. cikke szerint jóváhagyott, magánjellegű magatartási kódexeket, amelyek a tartozáselengedésre vonatkozó bejegyzések három év utáni törlését írják elő, figyelembe kell‑e venni az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének f) pontja szerinti mérlegelés során.

26.

E körülmények között a Verwaltungsgericht Wiesbaden (wiesbadeni közigazgatási bíróság) úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából a következő kérdéseket terjeszti a Bíróság elé:

IV.

A Bíróság előtti eljárás

27.

A C‑26/22. sz. ügyben 2021. december 23‑án kelt előzetes döntéshozatalra utaló határozat 2022. január 11‑én érkezett a Bíróság Hivatalához. A C‑64/22. sz. ügyben 2022. január 31‑én kelt előzetes döntéshozatalra utaló határozat 2022. február 2‑án érkezett a Bíróság Hivatalához.

28.

A Bíróság 2022. február 11‑i határozatával a fenti ügyeket az írásbeli és szóbeli eljárás, valamint az ítélethozatal céljából egyesítette.

29.

Az alapeljárás felei, a SCHUFA, a német és a portugál kormány, valamint az Európai Bizottság az Európai Unió Bírósága alapokmányának 23. cikkében megállapított határidőn belül írásbeli észrevételeket nyújtott be.

30.

A 2023. január 26‑i tárgyaláson az alapeljárásban részt vevő felek ad litem képviselői, a SCHUFA és a Bizottság meghatalmazottjai szóbeli észrevételeket tettek.

V.

Jogi elemzés

A.

Előzetes észrevételek

31.

Mivel a piacgazdaságban a kölcsönös bizalom az alapja minden szerződéses kötelezettségvállalásnak, főszabály szerint érthető, hogy üzleti szempontból a szolgáltatásnyújtók és áruszállítók meg akarják ismerni ügyfeleiket és az ilyen szerződéses kötelezettségvállalással járó kockázatokat. A gazdasági információs vállalkozások olyan statisztikai módszerekkel segíthetnek e kölcsönös bizalom megteremtésében, amelyek lehetővé teszik a vállalatok számára annak megállapítását, hogy az adott esetben teljesülnek‑e bizonyos releváns kritériumok, beleértve az ügyfelek hitelképességét is. Ezáltal segítik a vállalkozásokat abban, hogy megfeleljenek az uniós jog különböző rendelkezéseinek, amelyek éppen ilyen kötelezettséget rónak rájuk bizonyos szerződéskategóriák, különösen a hitelmegállapodások tekintetében. ( 4 ) Azonban nem ezek a vállalatok az egyetlenek, amelyek ilyen szolgáltatásokat nyújtanak. Az uniós jogalkotó, annak tudatában, hogy biztosítani szükséges a pénzügyi ügyletek bizonyos fokú átláthatóságát és kiszámíthatóságát, előírja a tagállamok számára, hogy hozzanak létre és tartsanak fenn egy vagy több olyan nyilvántartást, amelyben közzéteszik a fizetésképtelenségi eljárásokra vonatkozó információkat.

32.

Ennek eredményeként párhuzamosan több adatbázis fog létezni, nevezetesen egyrészt a hatóságok által kezelt „hivatalos” nyilvántartások, másrészt a magáncégek által kezelt adatbázisok. Ez a párhuzamosság a rendszerek közötti versenyhez, sőt jogi konfliktusokhoz is vezethet, ha az e nyilvántartásokra vonatkozó jogszabályok jelentősen eltérnek egymástól. A szabályozásban fennálló különbségek különösen akkor okozhatnak nehézséget, ha érintik az adatvédelmet, mivel akár állami, akár magánszervezet kezeli a nyilvántartást, tiszteletben kell tartania az érintett személyeknek az adatok kezelésével és nyilvántartásuk módjával kapcsolatos érdekeit. Mivel ugyanis a személyek gazdasági helyzetére vonatkozó információk a személyes adatok védelme és a magánélet védelméhez való jog tiszteletben tartása szempontjából érzékenyek, különös gondossággal kell eljárni.

33.

A 2018. május 25 óta alkalmazandó általános adatvédelmi rendelet olyan jogi keretet hozott létre, amely a fent említett érdekek figyelembevételére törekszik az Unió egész területén, többek között azáltal, hogy bizonyos feltételeket szab a személyes adatok kezelése vonatkozásában. Így az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének f) pontja előírja, hogy az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé. Más szóval, az adatkezelés jogszerűségének a különböző érdekek olyan súlyozásából kell következnie, amelynek során az adatkezelő vagy egy harmadik fél jogos érdekeinek kell elsőbbséget élvezniük. A felügyeleti hatóságnak – amely az általános adatvédelmi rendelet 77. cikkének (1) bekezdése értelmében elbírálja az érintett személynek az alapvető jogai megsértésére vonatkozó bármely panaszát – feladata e feltételek teljesülésének ellenőrzése. Végül, amennyiben e személy úgy dönt, hogy az általános adatvédelmi rendelet 78. cikkének (1) bekezdésével összhangban jogorvoslattal él a felügyeleti hatóság határozatai ellen, a nemzeti bíróságok feladata a hatékony bírósági felülvizsgálat biztosítása.

34.

A jelen indítvány előző pontjai röviden összefoglalják a kérdést előterjesztő bíróság által az előzetes döntéshozatal iránti kérelmekben felvetett különböző jogi szempontokat. Az első kérdés a felügyeleti hatóság által hozott olyan határozat jogi jellegére vonatkozik, amellyel szemben panaszt nyújtottak be, valamint az ilyen határozattal szemben benyújtott kereset keretében a bíróság által gyakorolható bírósági felülvizsgálat terjedelmére irányul. A második, harmadik, negyedik és ötödik kérdés lényegében a közhiteles nyilvántartásokból származó személyes adatok gazdasági információs magánvállalkozásoknál történő tárolásának jogszerűségére vonatkozik. Az előzetes döntéshozatalra előterjesztett kérdéseket az alábbiakban a kérdést előterjesztő bíróság általi előterjesztésük sorrendjében vizsgálom.

B.

Az előzetes döntéshozatalra előterjesztett első kérdésről

35.

Mivel az első kérdés a közigazgatási jogorvoslati eljárás két szakaszára vonatkozik, nevezetesen a felügyeleti hatósághoz benyújtott panaszra és az igazságügyi hatóság előtti bírósági jogorvoslatra, amelyeket az általános adatvédelmi rendelet 77., illetve 78. cikke szabályoz, helyénvalónak tartom e két szakasz rövid ismertetését, és ennek során kitérek azokra a jogi vonatkozásokra, amelyeket az előterjesztő bíróság kérdése érint.

36.

Amint arra a bevezető megjegyzéseimben rámutattam, az általános adatvédelmi rendelet célja a természetes személyeknek a személyes adatok kezelése tekintetében történő védelme, amit a Charta 8. cikkének (1) bekezdése és az EUMSZ 16. cikk (1) bekezdése alapvető jogként ismer el. Mivel minden személyesadat‑kezelés hatással lehet a magánéletre, meg kell említeni a Charta 7. cikkében garantált jogvédelmet is. ( 5 ) Továbbá az általános adatvédelmi rendelet (10), (11) és (13) preambulumbekezdésével összefüggésben értelmezett 1. cikkének (2) bekezdéséből következik, hogy az uniós jogalkotó ezt a feladatot az uniós intézményekre, szervekre és hivatalokra, valamint a tagállamok hatáskörrel rendelkező hatóságaira rója. ( 6 )

1.

A felügyeleti hatóságok szerepe, a panaszok kivizsgálásának kötelezettségét is beleértve

37.

E tekintetben meg kell említeni, hogy a Charta 8. cikkének (3) bekezdése előírja, hogy a személyes adatok védelmére vonatkozó szabályok tiszteletben tartását független hatóságnak kell ellenőriznie. Az általános adatvédelmi rendelet 57. cikke (1) bekezdésének a) pontja ezt az elsődleges jogból eredő kötelezettséget hajtja végre azáltal, hogy előírja, hogy minden felügyeleti hatóság feladata e rendelet nyomon követése és kikényszerítése. Az érintettek által benyújtott panaszok kezelése az általános adatvédelmi rendelt 57. cikke (1) bekezdésének f) pontjában kifejezetten meghatározottak szerint az adatkezelő feladatai közé tartozik.

38.

A Bíróság e rendelkezés alapján megállapította, hogy „minden felügyeleti hatóság a saját területén köteles kezelni azokat a panaszokat, amelyeket bármely személy [az általános adatvédelmi rendelet] 77. cikke (1) bekezdésének megfelelően jogosult benyújtani, amennyiben úgy ítéli meg, hogy a rá vonatkozó személyes adatok kezelése sérti az említett rendeletet, továbbá a szükséges mértékben köteles kivizsgálni e panaszok tárgyát” ( 7 ). Ebben az összefüggésben fel kell hívni a figyelmet arra, hogy a Bíróság hangsúlyozta, hogy a felügyeleti hatóságnak az általános adatvédelmi rendelet rendelkezései tiszteletben tartásának biztosítása érdekében „az ilyen panaszt a kellő gondossággal kell kezelnie”. Hasonlóképpen meg kell jegyezni, hogy az általános adatvédelmi rendelet (141) preambulumbekezdése kimondja, hogy a „panasz benyújtását követően – a konkrét esethez szükséges mértékben – vizsgálatot kell lefolytatni […]” (kiemelés tőlem).

39.

Ezen elemek alapján arra következtetek, hogy a felügyeleti hatóságnak feltétlen kötelessége, hogy az érintett személy által benyújtott panaszokat az adott eset által megkövetelt gondossággal kezelje. ( 8 ) Mivel az általános adatvédelmi rendelet bármilyen megsértése főszabály szerint az alapvető jogok megsértésének minősül, úgy vélem, hogy összeegyeztethetetlen az említett rendelet által létrehozott rendszerrel, ha a panaszok kezelésével vagy elutasításával kapcsolatban a felügyeleti hatóság mérlegelési jogkörrel rendelkezik. Egy ilyen megközelítés kétségbe vonná a felügyeleti hatóságnak az általános adatvédelmi rendelet szerinti, a személyes adatok védelmére vonatkozó szabályoknak való megfelelés biztosításában betöltött alapvető szerepét, és ezért ellentétes lenne az uniós jogalkotó által kitűzött célokkal. ( 9 ) Végül nem szabad elfelejteni, hogy a panaszok értékes információforrást jelentenek a felügyeleti hatóság számára, amely lehetővé teszi a jogsértések felderítését. ( 10 )

40.

Ez az értelmezés annál is inkább meggyőző, mivel az általános adatvédelmi rendelet 57. cikke (1) bekezdésének f) pontja az ilyen panaszok kezelésével kapcsolatban számos követelményt támaszt a felügyeleti hatósággal szemben, nevezetesen azt a kötelezettséget, hogy a panasz tárgyát a szükséges mértékben kivizsgálja, továbbá észszerű határidőn belül tájékoztatja a panaszost a vizsgálattal kapcsolatos fejleményekről és eredményekről, különösen, ha további vizsgálat vagy egy másik felügyeleti hatósággal való együttműködés válik szükségessé. Ez kiegészül az általános adatvédelmi rendelet 77. cikkének (2) bekezdése szerinti azon kötelezettséggel, hogy tájékoztatni kell a panaszost a panasszal kapcsolatos eljárási fejleményekről és annak eredményéről, ideértve azt is, hogy az általános adatvédelmi rendelet 78. cikke alapján jogosult bírósági jogorvoslattal élni. E követelmények, amelyek a Charta 41. cikkében kifejezetten az Unió intézményei, szervei és hivatalai tevékenységével ( 11 ) kapcsolatban megfogalmazott „megfelelő ügyintézés” fogalmának részét képezik, a panaszeljárás annak érdekében történő megerősítését célozzák, hogy az valódi közigazgatási jogorvoslati eszközzé váljon.

41.

Bár a felügyeleti hatóság az általános adatvédelmi rendelet rendelkezései betartásának felügyeletéért felelős szervként köteles foglalkozni a hozzá benyújtott panaszokkal, több tényező is azon értelmezés mellett szól, amelyek értelmében e panaszok vizsgálata során mérlegelési jogkörrel, valamint bizonyos mozgástérrel rendelkezik a feladatai ellátásához szükséges megfelelő eszközök kiválasztása tekintetében. Saugmandsgaard Øe főtanácsnok ugyanis megjegyezte, hogy az általános adatvédelmi rendelet 58. cikkének (1) bekezdése „jelentős vizsgálati hatáskörökkel ruházza fel a felügyeleti hatóságokat”, és hogy az említett rendelet 58. cikkének (2) bekezdése szerint „a rájuk ruházott feladat teljesítéséhez az eszközök széles skálája áll rendelkezésükre”, ezzel összefüggésben utalva az e rendelkezésben felsorolt, korrekciós intézkedések elfogadására vonatkozó különböző hatáskör[ei]kre. ( 12 ) A főtanácsnok a továbbiakban leszögezte, hogy noha az illetékes felügyeleti hatóság „köteles teljes mértékben ellátni a rábízott felügyeleti feladatot”, „a leghatékonyabb módszernek a szóban forgó […] összes körülményre figyelemmel történő kiválasztása [a] mérlegelési jogkörébe tartozik” ( 13 ). Ezzel az értelmezéssel teljesen egyetértek.

42.

A felügyeleti hatóságok korrekciós intézkedések elfogadására vonatkozó hatáskörének részletes leírása rávilágít arra, hogy az uniós jogalkotó nem kívánta a panaszeljárást petícióval kapcsolatos eljárássá tenni. Éppen ellenkezőleg, úgy tűnik, hogy a jogalkotó célja egy olyan mechanizmus létrehozása volt, amely képes hatékonyan megvédeni a panaszosok jogait és érdekeit. Ugyanakkor egyértelműnek tűnik számomra, hogy ez a mozgástér nem értelmezhető úgy, hogy a felügyeleti hatóság olyan korlátlan hatáskörrel rendelkezik, amely lehetővé teszi számára az önkényes fellépést. Éppen ellenkezőleg, a felügyeleti hatóság köteles ezt a mozgásteret az uniós jog által számára előírt korlátokon belül gyakorolni. Emiatt sem zárható ki annak lehetősége, hogy a felügyeleti hatóság, mint közigazgatási szerv, az eset sajátos körülményei miatt köteles egy adott intézkedést elfogadni, különösen akkor, ha fennáll az érintett személy alapvető jogai súlyos megsértésének veszélye.

43.

Ezt az értelmezést, amely a felügyeleti hatóságnak bizonyos mozgásteret biztosít az eszközök megválasztásában, támasztja alá az általános adatvédelmi rendelet 58. cikkének (4) bekezdése, amely előírja, hogy az „e cikk alapján a felügyeleti hatóságra ruházott hatáskörök gyakorlására megfelelő garanciák mellett kerülhet sor, ideértve […] a [Charta 47. cikkének megfelelő] hatékony bírósági jogorvoslatot” is. Az általános adatvédelmi rendelet 78. cikkének (1) és (2) bekezdése egyébként elismeri, hogy minden személy jogosult a hatékony bírósági jogorvoslatra a felügyeleti hatóság rá vonatkozó, jogilag kötelező erejű döntésével szemben, illetve akkor, ha e felügyeleti hatóság nem bírálja el a panaszát.

44.

Ezzel elérkeztem a felügyeleti hatóság által hozott határozatok jogi jellegének kérdéséhez, amelyet a kérdést előterjesztő bíróság az előzetes döntéshozatal iránti kérelmeiben vetett fel. E tekintetben az általános adatvédelmi rendelet (141) preambulumbekezdésére kell hivatkozni, amelyből kitűnik, hogy „[m]inden érintett jogosult arra, hogy panaszt tegyen egy […] felügyeleti hatóságnál, és a Charta 47. cikkével összhangban hatékony bírósági jogorvoslattal éljen, ha az úgy ítéli meg, hogy az e rendelet alapján elfogadott rendelkezések értelmében őt megillető jogokat megsértették, vagy ha a felügyeleti hatóság nem jár el valamely panasza alapján, illetve részben vagy egészben elutasítja vagy megalapozatlannak tekinti a panaszát, vagy nem jár el olyan esetben, amikor fellépése az érintett jogainak védelmében szükséges lenne” (kiemelés tőlem). E preambulumbekezdés figyelembe veszi azt a tényt, hogy a felügyeleti hatóság határozata hátrányos lehet az érintettre nézve, különösen akkor, ha arra a következtetésre jut, hogy a panasz megalapozatlan, ha úgy ítéli meg, hogy nem került sor az általános adatvédelmi rendelet megsértésére, és ezért nem tesz lépéseket a panaszra okot adó helyzet orvoslására. Az uniós jogalkotó elismeri az ilyen határozat jogilag kötelező erejét, következésképpen a panaszos számára megnyitja a nemzeti bíróság előtti jogorvoslat lehetőségét.

45.

Hasonlóképpen meg kell említeni, hogy a felügyeleti hatóság nem teheti meg, hogy nem jár el, mivel az általános adatvédelmi rendelet 78. cikkének (2) bekezdéséből következik, hogy „minden érintett jogosult a hatékony bírósági jogorvoslatra, ha az 55. vagy 56. cikk alapján illetékes felügyeleti hatóság nem foglalkozik a panasszal, vagy három hónapon belül nem tájékoztatja az érintettet a 77. cikk alapján benyújtott panasszal kapcsolatos eljárási fejleményekről vagy annak eredményéről”. Ez a körülmény kizárja, hogy a panasztételi eljárás a petícióhoz hasonlóvá váljon.

46.

A jelen ügyben – amint azt a kérdést előterjesztő bíróság az előzetes döntéshozatalra utaló határozataiban megállapította – a felügyeleti hatóság olyan határozatokat hozott, amelyek az alapeljárás felpereseit jogilag kötelezik. Lényegében megállapította, hogy a felperesek személyes adatainak a SCHUFA általi kezelése az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének b) és f) pontja értelmében jogszerű volt, és mint ilyen, hallgatólagosan kizárta a vizsgálati vagy korrekciós intézkedés alkalmazását.

2.

A felügyeleti hatóság által hozott határozatok bírósági felülvizsgálatának terjedelme

47.

Az általános adatvédelmi rendelet 78. cikkében szabályozott bírósági jogorvoslat az említett rendeletben előírt közigazgatási jogorvoslat második szakasza. Ebben az összefüggésben meg kell említeni, hogy mind a felügyeleti hatósághoz benyújtott „panaszt”, mind a „bírósági jogorvoslatot” az érintett személy „jogaként” kell értelmezni, ami teljes mértékben érthető, ha abból a gondolatból indulunk ki, hogy az általános adatvédelmi rendelet 77–79. cikke a Charta 47. cikkében foglalt hatékony jogorvoslathoz való jog megvalósítására irányul. Amint arra a fentiekben rámutattam, ( 14 ) az általános adatvédelmi rendelet 58. cikke (4) bekezdésének és 78. cikkének együttes olvasata e rendelet (141) preambulumbekezdésének fényében egyértelművé teszi ezt a célkitűzést. ( 15 )

48.

A felügyeleti hatóság által hozott határozatok bírósági felülvizsgálatának terjedelmét illetően emlékeztetni kell arra, hogy a nemzeti közigazgatási eljárási szabályokat általában az eljárási autonómia keretén belül, az egyenértékűség és a hatékony érvényesülés elvének tiszteletben tartása mellett kell alkalmazni. ( 16 ) Úgy vélem azonban, hogy a jogorvoslat csak akkor lehet „hatékony” a Charta 47. cikke és az általános adatvédelmi rendelet 78. cikkének (1) bekezdése értelmében, ha az illetékes nemzeti bíróság jogosult és köteles a felügyeleti hatóság érdemi határozatát teljes körű bírósági felülvizsgálatnak alávetni annak ellenőrzése érdekében, hogy a felügyeleti hatóság helyesen alkalmazta‑e az általános adatvédelmi rendeletet.

49.

Amint arra a Bíróság ítélkezési gyakorlatában rámutatott, „az olyan szabályozás, amely nem biztosít a jogalany számára semmilyen jogorvoslati lehetőséget abból a célból, hogy a rá vonatkozó személyes adatokhoz hozzáférést kapjon, vagy azokat helyesbíttesse, illetve töröltesse, nem tartja tiszteletben a hatékony bírói jogvédelemhez való jog lényegét, amelyet a Charta 47. cikke mond ki. A Charta 47. cikkének első bekezdése ugyanis megköveteli, hogy mindenkinek, akinek az Unió joga által biztosított jogait és szabadságait megsértették, a hivatkozott cikkben megállapított feltételek mellett joga van a bíróság előtti hatékony jogorvoslathoz. Az uniós rendelkezések tiszteletben tartásának biztosítására irányuló bírói felülvizsgálat fennállása e tekintetben a jogállamiság létének velejárója” ( 17 ).

50.

A felügyeleti hatóság által hozott határozatok bírósági felülvizsgálata terjedelmének meghatározása érdekében úgy vélem, először az általános adatvédelmi rendelet (141) preambulumbekezdésére kell hivatkozni, amely kimondja, hogy „[a] panasz benyújtását követően – a konkrét esethez szükséges mértékben – vizsgálatot kell lefolytatni, amely bírósági felülvizsgálat tárgyát képezheti” (kiemelés tőlem). Ezt követően az általános adatvédelmi rendelet (143) preambulumbekezdésére kell utalni, amely szerint „minden természetes vagy jogi személy számára biztosítani kell, hogy egy valamely felügyeleti hatóság által hozott és a szóban forgó személyre nézve jogkövetkezményekkel járó döntéssel szemben hatékony bírósági jogorvoslattal élhessen valamely illetékes tagállami bíróságnál. Ide tartoznak különösen a felügyeleti hatóság vizsgálati, korrekciós és engedélyezési hatásköreinek gyakorlására, illetve a panaszok megalapozatlannak tekintésére vagy elutasítására vonatkozó döntések” (kiemelés tőlem). Véleményem szerint e szövegrészeket úgy kell érteni, hogy a nemzeti bíróság által az általános adatvédelmi rendelet 78. cikke alapján elvégzendő bírósági felülvizsgálatnak átfogónak kell lennie, azaz ki kell terjednie minden olyan releváns szempontra, amely a felügyeleti hatóság által a panasz tárgyának vizsgálata során gyakorolt mérlegelési jog, valamint a vizsgálati és jogorvoslati intézkedések megválasztására vonatkozó mérlegelési jog körébe tartozik.

51.

Az uniós jogalkotó azon célkitűzése, hogy biztosítsa a felügyeleti hatóság minden olyan határozatának teljes körű bírósági felülvizsgálatát, amely joghatással jár a felügyeleti hatósághoz panaszt benyújtó érintettre nézve, különösen nyilvánvalóvá válik, ha figyelembe vesszük az általános adatvédelmi rendelet (143) preambulumbekezdésének egy másik rendelkezését, amely szerint „[a] felügyeleti hatósággal szembeni eljárást a felügyeleti hatóság székhelye szerinti tagállam bírósága előtt kell megindítani, és az eljárást az érintett tagállam eljárásjoga szerint kell lefolytatni. Az említett bíróság teljes körű joghatósággal rendelkezik, amely magában foglalja az általa tárgyalt jogvita szempontjából releváns összes ténybeli és jogi kérdés vizsgálata tekintetében fennálló joghatóságot is” (kiemelés tőlem). ( 18 ) Úgy vélem, hogy csak az ilyen terjedelmű bírósági felülvizsgálat felel meg a Charta 47. cikkében foglalt követelményeknek. ( 19 )

52.

Ezzel szemben a SCHUFA és az adatvédelmi biztos által a felügyeleti hatóságok határozatainak korlátozott bírósági felülvizsgálata mellett felhozott érveket nem látom meggyőzőnek. Először is, a felügyeleti hatóságnak az általános adatvédelmi rendelet 52. cikke szerinti „függetlensége”, ami a Charta 8. cikkének (3) bekezdésében foglalt követelmény konkrét kifejeződése, e hatóságot az indokolatlan beavatkozástól hivatott megvédeni, de nem mentesíti azon kötelezettsége alól, hogy feladatait és hatáskörét az uniós joggal teljes összhangban végezze, és döntéseit – bármely más nemzeti hatósághoz hasonlóan – hatékony bírósági felülvizsgálat alá lehessen vonni. Másodszor, az általános adatvédelmi rendelet 79. cikkében előírt, az adatkezelővel szembeni bírósági jogorvoslathoz való jog fennállása nem zárja ki a felügyeleti hatóság által hozott határozat elleni, az általános adatvédelmi rendelet 78. cikke szerinti jogorvoslathoz való jogot. E jogorvoslatok önállóan léteznek egymás mellett, és egyik sem másodlagos a másikhoz képest, párhuzamosan is gyakorolhatók. ( 20 ) A felpereseknek ezért nem róható fel, hogy jogellenesen jártak el, amikor az általános adatvédelmi rendelet által védett jogaik védelme során az egyik meghatározott jogorvoslatot előnyben részesítették. Következésképpen ezeket az érveket el kell utasítani.

53.

A fenti megfontolásokra tekintettel az előzetes döntéshozatalra előterjesztett első kérdésre azt a választ kell adni, hogy az általános adatvédelmi rendelet 78. cikkének (1) bekezdését úgy kell értelmezni, hogy e rendelkezésből az következik, hogy a felügyeleti hatóság jogilag kötelező erejű döntése teljes körű érdemi bírósági felülvizsgálatnak vethető alá.

C.

Az előzetes döntéshozatalra előterjesztett második, harmadik, negyedik és ötödik kérdésről

54.

A második, harmadik, negyedik és ötödik kérdés lényegében arra vonatkozik, hogy a gazdasági információs vállalkozások jogszerűen tárolnak‑e közhiteles nyilvántartásokból származó személyes adatokat. A kérdést előterjesztő bíróság által feltett kérdések számos, ezen gyakorlattal kapcsolatos jogi kérdést vetnek fel, amelyeket strukturált módon kell megvizsgálni. Az egyértelműség kedvéért célszerűnek tartom a kérdések témák szerint csoportosítását és ebben a sorrendben történő vizsgálatát.

55.

A Bíróságnak annak érdekében, hogy a kérdést előterjesztő bíróságnak hasznos választ adjon, értelmeznie kell az általános adatvédelmi rendelet több olyan rendelkezését, amelyek – bár a kérdésekben kifejezetten nem szerepelnek – mégis relevánsnak tűnnek. Ez a megközelítés azért lehetséges, mert az állandó ítélkezési gyakorlat szerint a Bíróság a nemzeti bíróság által szolgáltatott információk összessége és különösen az előzetes döntéshozatalra utaló határozat indokolása alapján meghatározhatja az uniós jog azon rendelkezéseit, illetve jogelveit, amelyeknek az értelmezése az alapügyben felmerülő jogvita tárgyára figyelemmel szükséges. ( 21 )

56.

Az ilyen mélyreható elemzést annál is inkább szükségesnek tartom, mivel az előterjesztő bíróság kérdéseiben olykor kizárólag a Charta 7. és 8. cikkére hivatkozik, noha e rendelkezéseket – amint azt a Bíróság kifejtette – nem lehet elszigetelten alkalmazni, azokat az általános adatkezelési rendelet 6. cikke (1) bekezdése első albekezdésének f) pontjában előírt mérlegelés keretében kell figyelembe venni. ( 22 ) Ebben az összefüggésben továbbá emlékeztetni kell arra, hogy mivel az általános adatvédelmi rendelet rendelkezései a szóban forgó alapvető jogokat biztosítják, logikusan a másodlagos jog értelmezése a kiindulópontja minden magyarázatnak, mivel a másodlagos jogot az elsődleges jog – amelynek a Charta szerves részét képezi – alapján kell értelmezni. ( 23 ) Ezért a következő elemzésben az általam relevánsnak tekintett rendelkezéseket veszem figyelembe.

1.

A gazdasági információs vállalkozások gyakorlatának és az általános adatvédelmi rendeletben a személyes adatok kezelésére vonatkozóan meghatározott elvek összhangjáról

57.

Az általános adatvédelmi rendelet „Elvek” című II. fejezete határozza meg a személyes adatok kezelésére vonatkozó elveket. Az alábbiakban megvizsgálom, hogy a gazdasági információs vállalkozások azon gyakorlata, hogy a közhiteles nyilvántartásokból származó személyes adatokat három évig tárolják, megfelel‑e azon elveknek, amelyek a jelen összefüggésben a leginkább relevánsnak tűnnek, nevezetesen a jogszerűség, a célhoz kötöttség és az adattakarékosság elvének.

58.

Az elemzés során a kérdést előterjesztő bíróság és a SCHUFA által nyújtott információkra támaszkodom, ugyanakkor hangsúlyozom, hogy a SCHUFA‑nak mint adatkezelőnek kell az általános adatvédelmi rendelet 5. cikkének (2) bekezdésében foglalt felelősség elvének megfelelően bizonyítania a fent említett elvek tiszteletben tartását.

a)

A jogszerűség elvének való megfelelés (az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének f) pontja)

59.

Az általános adatvédelmi rendelet 5. cikke (1) bekezdésének a) pontja előírja, hogy a személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni. Az általános adatvédelmi rendelet 6. cikkének (1) bekezdése szerint a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az ott felsorolt indokok egyike teljesül. Amint azt a Bíróság megállapította, azon esetek kimerítő és korlátozó jellegű felsorolásáról van szó, amelyekben egy ilyen adatkezelés jogszerűnek minősíthető. ( 24 ) A kérdést előterjesztő bíróság lényegében azt szeretné megtudni, hogy az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének f) pontja feljogosítja‑e a gazdasági információs magánvállalkozásokat arra, hogy közhiteles nyilvántartásból származó személyes adatokat tároljanak annak érdekében, hogy ezen adatokat kérésre az ügyfelek rendelkezésére bocsássák.

60.

A Bíróság ítélkezési gyakorlata ( 25 ) szerint az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének f) pontja három együttes feltételhez köti a személyes adatok kezelésének jogszerűségét: először is, az adatkezelő vagy valamely harmadik fél/felek – akivel/akikkel az adatokat közölték – jogos érdekének érvényesítése, másodszor, a személyes adatok kezelése valamely jogos érdek érvényesítéséhez szükséges, és harmadszor, hogy az adatvédelemmel érintett személy érdekei vagy alapvető szabadságai és jogai nem magasabb rendűek. Noha a nemzeti bíróság feladata annak értékelése, hogy e feltételek teljesülnek‑e, a Bíróságnak kell a felvetett jogi kérdések tisztázása révén iránymutatást adnia e vizsgálathoz.

1)

A „jogos érdek” fennállása

61.

Először is, ami a „jogos érdek” érvényesítését illeti, emlékeztetnék arra, hogy az általános adatvédelmi rendelet és az ítélkezési gyakorlat a jogosnak tekintett érdekek széles körét ismeri el, ( 26 ) ugyanakkor pontosítanom kell, hogy az általános adatvédelmi rendelet 13. cikke (1) bekezdése d) pontjának megfelelően az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének f) pontján alapuló adatkezelés esetében az adatkezelőnek kell megjelölnie a hivatkozott jogos érdekeket.

62.

A SCHUFA arra hivatkozik, hogy a szóban forgó adatkezelés nagy jelentőségű jogos érdekek érvényesítését szolgálja. Konkrétabban, a gazdasági információs vállalkozások a magánszemélyek vagy vállalkozások hitelképességének értékeléséhez szükséges adatokat kezelnek annak érdekében, hogy ezen információkat szerződéses partnereik rendelkezésére tudják bocsátani. Ez azon vállalatok gazdasági érdekeit is védi, amelyek hitelhez kapcsolódó szerződéseket szándékoznak megkötni. Továbbá a hitelképesség meghatározása és a hitelképességre vonatkozó információk szolgáltatása a hitelezés és a gazdaság működőképességének alapját képezi. Az említett vállalkozások tevékenysége hozzájárul a hitelügyletekben érdekelt személyek gazdasági elképzeléseinek megvalósításához is, mivel az információk gyors és bürokráciamentes vizsgálatot tesznek lehetővé.

63.

Úgy vélem, hogy elvileg objektív okból nem vonható kétségbe a SCHUFA azon érdekének jogszerűsége, hogy ügyfeleinek a fent leírt gazdasági szolgáltatást nyújtsa, valamint a SCHUFA ügyfelei azon érdekének jogszerűsége, hogy az előbbi szolgáltatásait a potenciális üzleti partnerek hitelképességének a jelzett értelemben történő értékeléséhez igénybe vegyék. Jóllehet az ilyen szolgáltatás célja valóban az, hogy a vállalkozás díjazásban részesüljön, és ezért egy magánvállalkozás üzleti modelljét alkotja, e körülmény önmagában mégsem elegendő ahhoz, hogy a jelen ügyben megkérdőjelezze az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének f) pontjában említett első feltétel teljesülését.

64.

A szóban forgó szolgáltatás által követett cél ráadásul lényegében hasonló ahhoz, amelyet az uniós jogalkotó a 2015/848 rendelet 24. cikkének elfogadásával kívánt elérni, amely előírja a tagállamok számára, hogy a területükön egy vagy több olyan nyilvántartást hozzanak létre és tartsanak fenn, amelyekben közzéteszik a fizetésképtelenségi eljárásokkal kapcsolatos információkat. Amint az e rendelet (76) preambulumbekezdéséből kitűnik, e nyilvánosan elérhető nyilvántartások célja „az érintett hitelezők és bíróságok tájékoztatásának javítása, és a párhuzamos fizetésképtelenségi eljárások megindításának megelőzése”. Úgy tűnik, hogy a SCHUFA által kínált szolgáltatásnak sem más a célja. Azt a kérdést, hogy a rendszerek párhuzamossága vezethet‑e jogi konfliktusokhoz, az alábbiakban vizsgálom meg. Az elemzés e szakaszában elegendő megállapítani, hogy a célok azonosságára tekintettel a SCHUFA által végzett adatkezelést úgy kell tekinteni, hogy az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének f) pontja értelmében vett jogos érdeket szolgál.

2)

Az adatkezelésnek a jogos érdek eléréséhez „szükséges” jellege

65.

Azon feltételt illetően, amely szerint a személyes adatok kezelésének valamely jogos érdek érvényesítéséhez szükségesnek kell lennie, a Bíróság ítélkezési gyakorlata szerint a személyes adatok védelmének elve alóli kivételeknek és ezen elv korlátozásainak a feltétlenül szükséges határokon belül kell maradniuk ( 27 ) Így tehát – a személyes adatok védelmét jobban tiszteletben tartó alternatívák hiányában – az adatkezelés és az érvényesíteni kívánt érdek között szoros kapcsolatnak kell fennállnia, mivel nem elegendő, ha az adatkezelési művelet egyszerűen csak hasznos az adatkezelő számára.

66.

A jelen esetben azt kell bizonyítani, hogy a fizetésképtelenségre vonatkozó személyes adatok közhiteles nyilvántartásokból való lekérdezése és magánvállalkozás általi tárolása az egyetlen lehetőség arra, hogy a SCHUFA az adott információt gazdasági célokra nyújtsa az ügyfelei részére. Márpedig nem zárható ki, hogy a SCHUFA‑nak lehetősége van arra, hogy más rendelkezésre álló adatok felhasználásával nyújtson gazdasági szolgáltatást és közöljön információkat a személyek hitelképességéről. A kérdést előterjesztő bíróság feladata annak vizsgálata, hogy e lehetőség is lehetővé teszi‑e SCHUFA számára, hogy ügyfeleinek hasznosan nyújthassa ezt a gazdasági szolgáltatást.

67.

A SCHUFA úgy véli, hogy az adatok kezelése szükséges. Véleménye szerint, ha egy gazdasági információs vállalkozás az adatgyűjtés megkezdése előtt konkrét megkeresésre várna, nem tudna időben információt szolgáltatni. A SCHUFA azon a véleményen van, hogy az a tény, hogy az adatok egy bizonyos ideig nyilvánosan (is) hozzáférhetők, nem érinti a gazdasági információs vállalkozások jogos érdekeit vagy az adatkezelés szükségességét.

68.

Ha a közhiteles nyilvántartásokból származó személyes adatok tárolása nem lenne szükséges ahhoz, hogy a SCHUFA gazdasági szolgáltatást nyújtson ügyfelei részére, az ilyen adatkezelés az általános adatkezelési rendelet 6. cikke (1) bekezdése első albekezdésének f) pontja alapján nem lenne jogszerű. Ezzel szemben, ha e rendelkezés második feltétele teljesül, a kérdést előterjesztő bíróságnak az említett rendelkezés harmadik és utolsó együttes feltételét is meg kell vizsgálnia.

3)

A különböző szóban forgó érdekek közötti egyensúly megteremtése

69.

Végezetül, egyrészről az adatkezelő, másrészről az érintett érdekei, illetve alapvető jogai és szabadságai közötti mérlegelést illetően, a Bíróság ítélkezési gyakorlata megállapítja, hogy a kérdést előterjesztő bíróság feladata a szóban forgó érdekek súlyozása. ( 28 ) E tekintetben a korábbi „29. cikk szerinti adatvédelmi munkacsoport” – jelenleg az „Európai Adatvédelmi Testület”, amelynek feladatait az általános adatvédelmi rendelet 70. cikkében határozza meg – iránymutatása ezen mérlegelés vonatkozásában a következő megfontolandó feltételeket sorolja fel: i) az adatkezelő jogos érdekének értékelése ii) az érintettekre gyakorolt hatás; iii) ideiglenes egyensúly; és iv) az adatkezelő által alkalmazott további biztosítékok az érintettre gyakorolt aránytalan hatások kiküszöbölésére. ( 29 ) A részletes és logikus elemzés érdekében javaslom, hogy ezeket a kritériumokat alkalmazzuk az alapeljárásra. Egy ilyen megközelítés az uniós jogalkotó által kitűzött célokkal összhangban az általános adatvédelmi rendelet következetesebb alkalmazásához is hozzájárul.

i)

Az adatkezelő „jogos érdekének” értékelése

70.

Az első feltétel tekintetében meg kell jegyezni, hogy mind a SCHUFA, mind ügyfeleinek érdeke tisztán gazdasági jellegű. A magánvállalkozások közhiteles nyilvántartásokból átvett személyes adatokat tárolnak abból a célból, hogy ügyfeleiknek olyan szolgáltatást nyújtsanak, amely többek között ezen adatok felhasználásával az érintett személy hitelképességéről nyújt tájékoztatást. Amint azt már fentebb kifejtettem, ( 30 ) ez az érdek a jelen elemzés szempontjából jogosnak tűnik.

ii)

Az adatkezelésnek az érintettre gyakorolt hatása

71.

Ami a második feltételt illeti, amely az adatkezelésnek az érintettre gyakorolt hatására vonatkozik, a törlési időszak tűnik a releváns tényezőnek. Minél hosszabb ideig tárolják az adatokat a gazdasági információs magánvállalkozások adatbázisaiban, annál jelentősebb e tárolásnak az érintett személyekre gyakorolt hatása. A jelen ügyben az alapeljárás felpereseinek személyes adatait a 2015/848 rendelet (76) preambulumbekezdésében előírtak szerint „[a]z érintett hitelezők és bíróságok tájékoztatásának javítása, és a párhuzamos fizetésképtelenségi eljárások megindításának megelőzése érdekében” kezelik. A különböző érdekek mérlegelése során a német jogalkotó e célok eléréséhez hat hónapos időtartamot tekintett szükségesnek a fizetésképtelenségi eljárásokra vonatkozó adatok ilyen közhiteles nyilvántartásokban való közzétételére. Ezért úgy tűnik, hogy a személyes adatok ezen hat hónapos időszakon túli tárolása eleve jelentős negatív hatással van az érintett személyre.

72.

A Bíróság ítélkezési gyakorlatából következik, hogy egyéb tényezőket – vagyis az adatbázisokhoz való hozzáférés szabályait, valamint a személyes adatok terjesztésére kínált lehetőségeket – is figyelembe kell venni az elemzés során. ( 31 ) Egyszerűen fogalmazva, minél könnyebben hozzáférhető az információ a nyilvánosság számára, annál súlyosabb az érintett alapvető jogaiba való beavatkozás. Ez különösen igaz akkor, amikor az érintett személy személyes adataihoz hozzáféréssel rendelkező felhasználók száma jelentős. ( 32 ) Ezért számomra egyértelműnek tűnik, hogy még ha ebben a hat hónapban már a közhiteles nyilvántartásokban is elérhetőek az adatok, az a tény, hogy azokat a gazdasági információs magánvállalkozások adatbázisaiban tárolják és párhuzamosan elérhetővé teszik, további hatással van az egyén magánéletére, ami hozzáadódik az adatok közhiteles nyilvántartásokban való hozzáférhetőségéhez fűződő negatív következményekhez.

73.

Az elemzés során további tényezőként az érintett adatok esetlegesen érzékeny jellegét is figyelembe kell venni. ( 33 ) Általánosságban elmondható, hogy az érintett személyre gyakorolt hatás a személyes adatok érzékenységével együtt nő. E tekintetben meg kell jegyezni, hogy a Bíróság ítélkezési gyakorlata azt mutatja, hogy a követelésbehajtással kapcsolatos személyes adatok az érintett személy magánélete szempontjából ténylegesen érzékeny adatok. ( 34 ) Ezért az ilyen adatok alapvetően korlátlan számú felhasználó számára történő rendelkezésre bocsátása az érintett személy alapvető jogaiba való lényeges beavatkozásnak tekintendő. ( 35 )

74.

Végül úgy tűnik, hogy az időtényezőt is figyelembe kell venni. Az idő múlásával még a jogszerű adatkezelés is az általános adatvédelmi rendelettel ellentétessé válhat, ha ezen adatok nem, vagy már nem relevánsak, illetve azon célokhoz képest, amelyekre eredetileg gyűjtötték őket, túlzó mértékűek. Ezen összefüggésben komolyan felmerül bennem a kérdés, hogy miként indokolható a személyes adatok három évig tartó tárolása, amikor a nemzeti jogalkotó álláspontja szerint a gazdasági szereplők üzleti érdekeit figyelembe véve a hat hónapos, azaz sokkal rövidebb tárolási időszak bőven elegendő. Meg kell állapítani, hogy a SCHUFA nem tudott egyértelmű és meggyőző választ adni erre a kérdésre, ( 36 ) noha az általános adatvédelmi rendelet 5. cikkének (2) bekezdése alapján rá hárul annak bizonyításának terhe, hogy a személyes adatok kezelésére vonatkozó elveket betartották. ( 37 )

iii)

Ideiglenes mérlegelés

75.

Az előző pontokban említett valamennyi elem értékelése arra a következtetésre vezet, hogy az adatoknak a szóban forgó hat hónapos időszakot meghaladó időtartamú tárolása által az érintettre gyakorolt jelentős negatív következmények felülmúlják a magánvállalkozásnak és ügyfeleinek az adatok ezen időszakot követő tárolásához fűződő gazdasági érdekét. Ezen összefüggésben fontos hangsúlyozni, hogy a fennálló tartozás elengedésének az a célja, hogy a kedvezményezett ismét részt vehessen a gazdasági életben. ( 38 ) A tárgyaláson az alapeljárás felperesei és a Bizottság is felhívta a figyelmet erre a szempontra. Márpedig ezt a célt meghiúsítaná, ha a gazdasági információs vállalkozások azt követően is jogosultak lennének a személyes adatoknak az adatbázisukban történő tárolására, hogy ezeket az adatokat törölték a közhiteles nyilvántartásból.

iv)

További biztosítékok

76.

Végül, ami az adatkezelő által az érintettekre gyakorolt indokolatlan hatások elkerülése érdekében bevezetett további biztosítékokat illeti, sem az előzetes döntéshozatalra utaló szóló határozat, sem a SCHUFA észrevételei nem utalnak ilyen biztosítékokra.

4)

Közbenső következtetés

77.

A fenti megfontolásokra tekintettel úgy vélem, hogy azt követően, hogy a fizetésképtelenséggel kapcsolatos személyes adatokat törölték a közhiteles nyilvántartásból, a gazdasági információs magánvállalkozás általi adattárolás nem tekinthető az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének f) pontja alapján jogszerűnek.

78.

Ami azt a hat hónapos időszakot illeti, amely alatt a személyes adatok a közhiteles nyilvántartásokban is elérhetők, a kérdést előterjesztő bíróság feladata, hogy mérlegelje a fenti érdekeket és az érintettre gyakorolt hatásokat annak megállapítása érdekében, hogy az említett adatoknak a gazdasági információs magánvállalkozások általi párhuzamos tárolása az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének f) pontja alapján jogszerű‑e.

b)

A célhoz kötöttség és az adattakarékosság elvének való megfelelésről (az általános adatvédelmi rendelet 5. cikke (1) bekezdésének b) és c) pontja)

79.

Az általános adatvédelmi rendelet 5. cikke (1) bekezdésének b) pontjában meghatározott célhoz kötöttség elvével összhangban biztosítani kell, hogy a meghatározott célból gyűjtött személyes adatokat a továbbiakban ne lehessen az adott céllal összeegyeztethetetlen módon kezelni. A jelen ügyben a fizetésképtelenséggel és a fennálló tartozások elengedésével kapcsolatos adatokat a hatóságok a jogi kötelezettségek teljesítésével összefüggésben kezelték.

80.

Az adatok magánvállalkozások általi további felhasználását illetően azonban az általános adatvédelmi rendelet alapján, és az e rendelet 6. cikkének (4) bekezdésében meghatározott kritériumok alkalmazásával meg kell vizsgálni, hogy a további cél összeegyeztethető‑e az eredeti céllal. E rendelkezés a), b) és d) pontja különösen releváns a jelen ügy szempontjából. A következő kritériumokat állapítják meg: i) az eredeti cél és a későbbi cél közötti kapcsolat; ii) adatok gyűjtésének körülményei, különös tekintettel az érintettek és az adatkezelő közötti kapcsolatokra; valamint iii) azt, hogy az érintettekre nézve milyen esetleges következményekkel járna az adatok tervezett további kezelése.

81.

Először is, úgy látom, hogy a célok közötti kapcsolat gyenge, már csak azért is, mert az eredeti célt jogszabály, pontosabban az uniós jog szabályozza, amely előírja a tagállamok számára, hogy nyilvántartásokat hozzanak létre és tartsanak fenn, ( 39 ) továbbá az adatkezelő a jogszabály által rábízott feladatok keretében eljáró hatóság, míg a későbbi célt egy magánjogi jogalany követi egy olyan gazdasági tevékenység keretében, amely az személyekre vonatkozó gazdasági információk szolgáltatásából áll.

82.

Másodszor, ami az adatok gyűjtésének körülményeit illeti, meg kell jegyezni, hogy nincs kapcsolat az adatkezelő és az érintett személy között, mivel az adatgyűjtés közvetve, nyilvántartásokon keresztül történik, és az érintett személynek ezért nincs tudomása arról, hogy adatait később felhasználhatják, sem arról, hogy azt ki és milyen célra teheti meg. E tényező a személyes adatok védelme szempontjából különösen súlyosnak tűnik számomra, mivel általában észszerűen senki sem számíthat arra, hogy személyes adatait tovább kezelik. ( 40 ) Azon tény alapján, hogy a törvény bizonyos időtartamot ír elő az adatok közhiteles nyilvántartásokban való tárolására, észszerűen arra lehet következtetni, hogy a szóban forgó adatokat ezen időtartam letelte után törlik.

83.

Harmadszor, ami az adatok további kezelésének az érintettekre gyakorolt lehetséges következményeit illeti, hangsúlyozni kell, hogy a fizetésképtelenségi eljárásokra vonatkozó információkat mindig negatív tényezőként használják fel az érintett természetes személy fizetőképességének jövőbeli értékelése során, ami jelentős hatással van az érintett személy jogaira. A gazdasági helyzetéről alkotott hamis kép kedvezőtlen hatással lehet az érintett személyre, ami jelentősen megnehezíti a szabadságjogainak gyakorlását, és akár meg is bélyegzi őt a társadalomban. Mivel az érintett személy az áruk és szolgáltatások megtagadásával szembesülhet, indokolatlan megkülönböztetés áldozatává válhat.

84.

E három kritérium alapján, amelyeknek teljesülniük kell ahhoz, hogy a személyes adatok felhasználása megfeleljen az általános adatvédelmi rendelet 6. cikkének (4) bekezdésében előírt eredeti célnak, kétségesnek tűnik, hogy az ilyen adatok későbbi felhasználása megfelelhet‑e ennek a célnak.

85.

Ráadásul meg kell említeni, hogy a nemzeti jogalkotó azzal, hogy a jogi feltételek teljesülése esetére hat hónapban határozta meg azt a maximális időtartamot, amely alatt a fizetésképtelenségi helyzetet és a fennálló tartozások elengedéséről szóló bírósági határozatot közzéteszik, már figyelembe vette a közérdek megvalósítását, és egyensúlyt teremtett egyfelől a hitelezők érdekei, másfelől a fizetésképtelen személyek érdekei és jogai között. ( 41 ) A személyes adatoknak a magánvállalkozások által – a közhiteles nyilvántartásokra törvényben előírt időtartamnál hatszor hosszabb ideig – történő kezelése túlzottnak tűnik, és de facto bünteti az érintett személyt, noha a törvény egyértelműen nem rendelkezik ilyesmiről. Ugyanis – amint azt már megemlítettem –, a fennálló tartozás elengedésének lehetővé kell tennie a kedvezményezett számára, hogy ismét részt vehessen a gazdasági életben. Márpedig ezt a célt meghiúsítaná, ha a gazdasági információs magánvállalkozások számára engedélyeznék, hogy a személyes adatokat a közhiteles nyilvántartásokból való törlésüket követően tárolhassák az adatbázisukban. ( 42 ) Ezzel ellentétes bizonyítékok hiányában félő, hogy az adatbázishoz való hozzáférés feltételeit azzal a szándékkal alakították ki, hogy megkerüljék a tagállam által az uniós jog szerinti kötelezettségeinek teljesítése céljából elfogadott nemzeti jogszabályokat. ( 43 )

86.

Egyébiránt aránytalannak tűnik egy múltbeli és már jogilag tisztázott helyzet – például a fennmaradó tartozás elengedése – jövőbeni értékelések során történő „újrafelhasználása” ahelyett, hogy a kockázatelemzés időpontjában aktualizált tényezőket használnának az érintett személy gazdasági helyzetének pontosabb és objektívebb értékelése érdekében. Megkérdőjelezhető ugyanis a valamely személy több évvel korábbi gazdasági helyzetére vonatkozó információk értéke. A bizonyos idővel korábban megvalósult körülménnyel kapcsolatos személyes adatok aligha nyújtanak megbízható információt az érintett személy jelenlegi gazdasági helyzetéről. Úgy tűnik, a német jogalkotó felismerte ezt a problémát, és levonta a megfelelő következtetéseket, amikor lényegesen rövidebb adattárolási időszak mellett döntött.

87.

Végezetül úgy látom, hogy a gazdasági információs vállalkozások eljárása ellentétes az adattakarékosságnak az általános adatkezelési rendelet 5. cikke (1) bekezdésének c) pontjában foglalt elvével, amely szerint a személyes adatoknak az adatkezelés céljai szempontjából megfelelőknek és relevánsaknak kell lenniük, és a szükségesre kell korlátozódniuk. Ezzel összefüggésben felmerül a kérdés, hogy mit jelent a tagállamok által létrehozott nyilvántartásokban a nyilvánosság számára már hozzáférhetővé tett személyes adatok rendelkezésre bocsátása. Úgy vélem, egy ilyen tevékenység inkább arra alkalmas, hogy az érzékeny információk olyan terjesztéséhez vezessen, amelyek nem feltétlenül szükségesek a gazdasági szereplők gazdasági érdekeinek való megfeleléshez. ( 44 )

88.

A fentiekben ismertetett okok miatt úgy vélem, hogy az ilyen adatoknak egy gazdasági információs magánvállalkozás általi tárolása nem minősül az általános adatvédelmi rendelet 5. cikke (1) bekezdésének b) és c) pontjában foglalt célhoz kötöttség és adattakarékosság elvével összhangban lévő gyakorlatnak.

c)

Közbenső következtetés

89.

A fenti elemzés alapján arra a következtetésre jutottam, hogy a gazdasági információs vállalkozások azon gyakorlata, hogy három évig tárolják a közhiteles nyilvántartásokból származó személyes adatokat, nem áll összhangban a személyes adatok kezelésére vonatkozó, az általános adatvédelmi rendeletben foglalt elvekkel. Mindemellett le kell szögezni, hogy e következtetés a tények olyan értékelésén alapul, amely végső soron a jogvitát elbíráló kérdést előterjesztő bíróság feladata.

2.

A törléshez való jog gyakorlásáról (az általános adatvédelmi rendelet 17. cikkének (1) bekezdése)

90.

A kérdést előterjesztő bíróság azt is tudni szeretné, hogy az általános adatvédelmi rendelet 17. cikkében foglalt „elfeledtetéshez való jog” magában foglalja‑e azt, hogy a személyes adatokat törölni kell egy gazdasági információs magánvállalkozásnak a közhiteles nyilvántartásokkal párhuzamosan létező, és ugyanazokat az adatokat tartalmazó adatbázisából. A kérdést előterjesztő bíróság különbséget tesz azon időszak között, amikor a személyes adatok a közhiteles nyilvántartásban is elérhetők, és azon időszak között, amelyben ezek az adatok ott már nem állnak rendelkezésre.

91.

Az általános adatvédelmi rendelet 17. cikke (1) bekezdésének d) pontja ezen adatok jogellenes kezelése esetére a személyes adatainak törléséhez való abszolút jogot ír elő az érintett személy számára. ( 45 ) Következésképpen abban az esetben, ha a kérdést előterjesztő bíróság az elemzésemben levont következtetésem ( 46 ) alapján úgy ítélné meg, hogy a SCHUFA az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének f) pontja alapján nem kezelhette jogszerűen a felperesek személyes adatait, akkor az ilyen adatkezelés jogellenes, amennyiben az általános adatvédelmi rendelet 6. cikkének (1) bekezdésében szereplő egyéb okok nem állnak fenn. Ebben az esetben a SCHUFA köteles törölni a felperesek személyes adatait, és ez utóbbiak erre attól függetlenül válnak jogosulttá, hogy az adatok törlését azoknak a közhiteles nyilvántartásból való törlését megelőző vagy azt követő időszakban kérték‑e. Úgy tűnik, ez az eredmény összhangban van az általános adatvédelmi rendelet 5. cikke (1) bekezdésének e) pontjában foglalt követelményekkel is, amely előírja, hogy a személyes adatok „tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé” (kiemelés tőlem).

92.

E tekintetben felhívnám a figyelmet a 2015/848 rendelet 79. cikkének (5) bekezdésére, amely nyilvánvalóvá teszi az uniós jogalkotó által az adattörléshez való jognak tulajdonított jelentőséget, többek között akkor, amikor a hatóságok különösen érzékeny személyes adatokat, például az érintettek hitelképességével kapcsolatos adatokat kezelnek. E rendelkezés szerint „[a]zon tájékoztatás részeként, amelyet az érintettek részére jogaik – különösen az adattörléshez való jog – gyakorlásának lehetővé tétele érdekében kell nyújtani, a tagállamok tájékoztatják az érintetteket arról, hogy a fizetésképtelenségi nyilvántartásokban tárolt személyes adataikhoz való hozzáférés céljára milyen időtartam áll a rendelkezésükre” (kiemelés tőlem). Az uniós jogalkotó nyilvánvalóan felismerte, hogy az ilyen típusú adatokat törölni kell, ha tárolásuk már nem indokolt.

93.

Noha az előzetes döntéshozatal iránti kérelmek csak az általános adatvédelmi rendelet 17. cikke (1) bekezdése d) pontjának értelmezésére vonatkoznak, úgy vélem, hogy a jelen ügyekben hozandó ítélet szempontjából a fenti (1) bekezdés c) pontja is releváns lehet, nevezetesen akkor, ha a kérdést előterjesztő bíróság a rendelkezésre álló információk alapján általam levont következtetéssel ellentétben úgy ítéli meg, hogy a SCHUFA az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének f) pontja alapján jogszerűen kezelhette a felperesek személyes adatait. E rendelkezés az adatok azon esetben történő törléséhez való jogot írja elő, amikor az érintett személy az általános adatvédelmi rendelet 21. cikkének (1) bekezdése alapján tiltakozik az adatkezelés ellen, és nem áll fenn elsőbbséget élvező jogszerű ok az adatkezelésre. Ez a megfogalmazás azt jelenti, hogy az minden „elsőbbséget élvező jogszerű ok az adatkezelésre” kivételt képez az érintettnek az adatkezelés elleni tiltakozáshoz és személyes adatainak törléséhez való joga alól. Következésképpen az érintett személynek feltételezhetően joga van tiltakozni az adatkezelés ellen, és joga van a törléshez, kivéve, ha elsőbbséget élvező jogszerű ok áll fenn. ( 47 )

94.

Úgy vélem, hogy a személyes adatok hatékony védelme érdekében nem szabad jelentős akadályokat gördíteni a törléshez való jog gyakorlása elé, különösen akkor, ha a piacon több olyan gazdasági információs vállalkozás van jelen, amely a közhiteles nyilvántartással párhuzamosan tárol adatokat. Ha e jog gyakorlását az általános adatvédelmi rendelet 17. cikke (1) bekezdésének szigorú értelmezése miatt túlzottan megnehezítenék, akkor fennállna a veszélye annak, hogy a versenytársak megkerülik az általános adatvédelmi rendelettel biztosítani kívánt védelmet. Emlékeztetni kell azonban arra, hogy az uniós jogalkotó célja „a természetes személyeknek a személyes adataik kezeléséhez kapcsolódó alapvető jogai és szabadságai védelmére vonatkozó szabályok következetes és egységes alkalmazásá[nak] az Unió egész területén [történő biztosítására] (kiemelés tőlem)” irányul, amint az az általános adatvédelmi rendelet (10) preambulumbekezdéséből kitűnik. Ezért az érintett személynek képesnek kell lennie arra, hogy jogait érvényesítse minden olyan vállalkozással szemben, amely megsérti ezeket a szabályokat. Mivel a SCHUFA csak egyike azon sok nagyvállalatnak, amely gazdasági információkat szolgáltat Németországban, meg kell határozni, hogy a közhiteles nyilvántartással párhuzamos személyesadat‑tárolás elterjedt gyakorlat‑e az ilyen vállalatok körében.

95.

Az elemzésnek ebben a szakaszában tehát azt kell megállapítani, hogy a felperesek főszabály szerint hivatkozhatnak az általános adatvédelmi rendelet 17. cikkének (1) bekezdése szerinti törléshez való jogra. Csak abban az esetben lehetne eltérő eredményre jutni, ha a gazdasági információs magánvállalkozásnak az általános adatvédelmi rendelet 21. cikke (1) bekezdésének megfelelően sikerülne „[bizonyítania], hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben”. Mivel a rendelkezésre álló információk nem teszik lehetővé az alapügyben felmerülő kényszerítő okok megállapítását, a tényállás megállapítása és adott esetben az érintett érdekek mérlegelése a nemzeti bíróság feladata.

96.

A fenti megfontolásokra tekintettel az általános adatvédelmi rendelet 17. cikke (1) bekezdésének d) pontját úgy kell értelmezni, hogy az érintett személy jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, ha ezeket az adatokat az említett rendelet 6. cikke (1) bekezdése értelmében jogellenesen kezelték. Az általános adatvédelmi rendelet 17. cikke (1) bekezdésének c) pontját úgy kell értelmezni, hogy az érintett főszabály szerint jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, ha az említett rendelet 21. cikkének (1) bekezdése alapján tiltakozik az adatkezelés ellen. A kérdést előterjesztő bíróság feladata annak vizsgálata, hogy kivételesen fennállnak‑e kényszerítő erejű jogos okok az adatkezelésre.

3.

Az általános adatvédelmi rendelet 40. cikke szerinti magatartási kódexnek a közhiteles nyilvántartásokra előírt tárolási időszakokat meghaladó ellenőrzési és törlési időszakok előírása érdekében történő alkalmazásáról

97.

A kérdést előterjesztő bíróság azt is tudni szeretné, hogy az uniós joggal összhangban van‑e az, ha az általános adatvédelmi rendelet 40. cikke szerinti magatartási kódexben a közhiteles nyilvántartásokra előírt tárolási időszakokat meghaladó ellenőrzési és törlési időszakokat írnak elő anélkül, hogy az említett rendelet 6. cikke (1) bekezdése első albekezdésének f) pontjában előírt mérlegelést el kellene végezni.

98.

Ezzel kapcsolatban elöljáróban meg kell jegyezni, hogy a kérdést előterjesztő bíróság szerint jelenleg nincsenek hatályban olyan nemzeti szabályok, amelyek a gazdasági információs vállalkozások által fenntartott adatbázisokra vonatkozó törlési határidőket írnának elő. Úgy tűnik azonban, hogy az érdekelt felek a felügyeleti hatóságok és a gazdasági információs vállalkozások szövetsége által közösen elfogadott magatartási kódexet egyfajta „jogalapnak” tekintik, amely legitimálhatja a fent leírt gyakorlatot. Úgy vélem, ez az elképzelés az alábbi okok miatt jogi szempontból bírálható.

99.

Egy ilyen magatartási kódex jogilag csak az azt kidolgozó és elfogadó felek, vagyis a fent említett szövetség és annak tagjai önkéntes kötelezettségvállalását testesíti meg. Hasonlóképpen az a tény, hogy az említett magatartási kódexet egy felügyeleti hatóság jóváhagyta, csak azt jelenti, hogy ez utóbbi közigazgatási hatóságként úgy tekinti, hogy e magatartási kódex kötelezi őt. Mindazonáltal számomra kétségtelen, hogy a pacta tertiis nec nocent nec prosunt jogelvnek megfelelően e kódex harmadik felekre nézve nem kötelező. Ellenkező esetben ez nem csak azokat a természetes személyeket érintené, akiknek az adatait kezelik, hanem azokat a vállalkozásokat is, amelyek nem vettek részt egy ilyen magatartási kódex kidolgozásában.

100.

Egy magatartási kódex a meghatározása szerint nem rendelkezik normatív jelleggel a jogrendben, hanem inkább egy normatív aktus rendelkezéseinek pontosítására irányul, azok alkalmazásának megkönnyítése érdekében. Ezt az értelmezést támasztja alá az általános adatvédelmi rendelet 40. cikkének (1) és (2) bekezdése, amelyből az következik, hogy az adatkezelők vagy az adatfeldolgozók kategóriáit képviselő egyesületek és egyéb szervezetek által kidolgozásra kerülő magatartási kódexek célja, hogy egyfelől „segít[sék] e rendelet helyes alkalmazását”, másfelől „pontosít[sák] e rendelet alkalmazását” (kiemelés tőlem). Ezért, mivel a szóban forgó magatartási kódex feladata arra korlátozódik, hogy egy adott ágazatban biztosítsa az általános adatvédelmi rendelet helyes alkalmazását, e kódex önmagában nem képezheti a személyes adatok kezelésének jogalapját. ( 48 )

101.

Az ilyen adatkezelés jogalapja kizárólag az általános adatkezelési rendelet 6. cikkében vagy – ha van alkalmazandó engedő rendelkezés – a nemzeti jogban található. A jelen indítványban már rámutattam, hogy az általános adatvédelmi rendelet 6. cikke tartalmazza azon esetek kimerítő és korlátozó jellegű felsorolását, amelyekben a személyes adatok kezelése jogszerűnek tekinthető. ( 49 ) Ezért a magatartási kódex szabályai nem bővíthetnék ezt a listát anélkül, hogy ezzel egyidejűleg ne sértenék az uniós jogot.

102.

Márpedig úgy látom, hogy éppen ez a helyzet akkor, ha – mint a jelen ügyben – e szabályok a gazdasági információs vállalkozások számára azt a kötelezettséget írják elő, hogy az érintettek adatait három évig, azaz olyan meghosszabbított ideig tárolják, ami a személyes adatok kezelésére vonatkozó, az általános adatvédelmi rendeletben foglalt elvek alapján nem igazolható. Konkrétabban, amint azt elemzésem keretében bemutattam, az ilyen adatoknak a fizetésképtelenséggel kapcsolatos személyes adatok közhiteles nyilvántartásokból való törlését követő időszakban történő tárolása az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének f) pontja alapján nem tekinthető jogszerűnek. ( 50 )

103.

Ezért az elemzés e szakaszában meg kell említeni, hogy az olyan magatartási kódexek, amelyek az általános adatkezelési rendelet 6. cikke (1) bekezdése első albekezdésének f) pontjának megfelelő eredménytől eltérő eredményhez vezetnének, nem vehetők figyelembe az említett rendelkezés szerinti mérlegelés során. Az általános adatkezelési rendelet 4. cikk (7) bekezdése értelmében vett „adatkezelőként” a gazdasági információs vállalkozások nem bújhatnak a saját maguk által kidolgozott magatartási kódex szabályai mögé annak érdekében, hogy érvényesen mentesülhessenek az általános adatvédelmi rendeletből eredő kötelezettségeik alól.

104.

A fenti megfontolásokra tekintettel úgy vélem, hogy az általános adatvédelmi rendelet 40. cikkének (2) és (5) bekezdését úgy kell értelmezni, hogy az e rendelkezésekkel összhangban kidolgozott és a felügyeleti hatóság által esetlegesen jóváhagyott magatartási kódexek nem határozhatnak meg a személyes adatok jogszerű kezelésére vonatkozóan olyan jogilag kötelező érvényű feltételeket, amelyek eltérnek az általános adatvédelmi rendelet 6. cikkének (1) bekezdésében meghatározottaktól.

VI.

Végkövetkeztetés

105.

A fenti megfontolások fényében azt javaslom, hogy a Bíróság a Verwaltungsgericht Wiesbaden (wiesbadeni közigazgatási bíróság, Németország) által előzetes döntéshozatalra előterjesztett kérdésekre a következő választ adja: