I.

Въведение

1.

Настоящите преюдициални запитвания, отправени от Verwaltungsgericht Wiesbaden (Административен съд Висбаден, Германия) на основание член 267 ДФЕС, имат за предмет тълкуването на членове 7 и 8 от Хартата на основните права на Европейския съюз (наричана по-нататък „Хартата“), както и на член 6, параграф 1, първа алинея, буква е), на член 17, параграф 1, буква г), на член 40, на член 77, параграф 1 и на член 78, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) ( 2 ) (наричан по-нататък „ОРЗД“).

2.

Запитванията са отправени в рамките на два спора, първия — между UF и Land Hessen (провинция Хесен) (дело C‑26/22), а втория — между AB и Land Hessen (провинция Хесен) (дело C‑64/22), като Land Hessen (провинция Хесен) е представлявана от Hessischer Beauftragte für Datenschutz und Informationsfreiheit und Informationsfreiheit (длъжностно лице за защита на данните и свобода на информацията на провинция Хесен, наричанo по-нататък „HBDI“), във връзка с молби, отправени съответно от UF и AB до HBDI, за съдействие за изтриването на извършено от SCHUFA Holding AG (наричано по-нататък „SCHUFA“) вписване на освобождаване от остатъка по задълженията.

3.

Двете дела повдигат различни нови правни въпроси, които се отнасят, наред с другото, до правното естество на решението на надзорния орган, до който е подадена жалба, както и до обхвата на съдебния контрол, който съдът може да упражни в рамките на производство по обжалване на такова решение. Тези дела засягат и въпроса за законосъобразността на съхраняването на лични данни от публични регистри в агенции за икономически справки.

II.

Правна уредба

А.

Правото на Съюза

1.

Регламент (ЕС) 2015/848

4.

Съгласно член 79, параграфи 4 и 5 от Регламент (ЕС) 2015/848 на Европейския парламент и на Съвета от 20 май 2015 година относно производството по несъстоятелност ( 3 ):

2.

ОРЗД

5.

Член 5, параграф 1 от ОРЗД гласи:

6.

Член 6, параграф 1 от този регламент предвижда:

7.

Член 17, параграф 1 от ОРЗД предвижда:

8.

Член 21, параграф 1 от този регламент предвижда:

9.

Член 40 от посочения регламент гласи:

10.

Член 77, параграф 1 от ОРЗД предвижда:

11.

Член 78 от този регламент гласи:

Б.

Германското право

12.

Член 9, параграф 1 от Insolvenzordnung (Закон за несъстоятелността) в редакцията му, в сила към момента на настъпване на фактите по главните производства, гласи:

13.

Член 3, параграфи 1 и 2 от Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (Наредба за официалните публикации в интернет в производството по несъстоятелност, наричана по-нататък „InsBekV“) предвижда:

III.

Фактите по споровете, главните производства и преюдициалните въпроси

14.

Със съдебни определения, съответно от 17 декември 2020 г. и от 23 март 2021 г., е постановено временно освобождаване на UF и AB от остатъка по задълженията им в рамките на свързаните с тях производства по несъстоятелност. В съответствие с член 9, параграф 1 от Закона за несъстоятелността, както и в съответствие с член 3, параграфи 1 и 2 от InsBekV това обстоятелство е публикувано официално в интернет и изтрито след изтичане на шест месеца.

15.

SCHUFA — частна агенция за икономически справки, вписва в своята собствена база данни публикуваната информация относно временното освобождаване от остатъка по задълженията, но я изтрива едва три години след вписването.

16.

Сезирана съответно от UF и AB с искания за изтриване на отнасящите се до тях вписвания, SCHUFA им отговаря, че дейността му е в съответствие с ОРЗД и че предвиденият в член 3, параграф 1 от InsBekV шестмесечен срок за изтриване не се прилага спрямо него. Тогава UF и AB подават поотделно жалби до HBDI като компетентен надзорен орган.

17.

HBDI се произнася по тези жалби с две решения, съответно от 1 март 2021 г. и 9 юли 2021 г. Според него SCHUFA има право да съхранява негативни вписвания относно освобождавания от остатъка по задълженията и след периода на освобождаване от дадено вземане.

18.

UF и AB поотделно подават жалби срещу решението на HBDI пред запитващата юрисдикция Verwaltungsgericht Wiesbaden (Административен съд Висбаден). В това отношение те изтъкват, че в рамките на задачите и правомощията си HBDI е длъжно да вземе мерки срещу SCHUFA, за да изиска изтриване на отнасящите се до тях вписвания.

19.

Във връзка с това запитващата юрисдикция счита за необходимо, на първо място, да се изясни правното естество на решението, което надзорният орган постановява по жалба, подадена на основание член 77, параграф 1 от ОРЗД. Тази юрисдикция посочва, че според HBDI предвиденото в посочения член 77, параграф 1 право е замислено като право на петиция. Така то би било предмет само на ограничен съдебен контрол, който се свеждал до проверка дали надзорният орган е разгледал жалбата и дали е информирал нейния автор за напредъка в разглеждането на жалбата и за резултата от нея. За сметка на това съдът не трябвало да упражнява съдебен контрол над правилността по същество на решението по жалбата.

20.

Посочената юрисдикция обаче се съмнява в съответствието на този анализ с ОРЗД. Всъщност според нея член 78, параграф 1 от този регламент изисква осигуряването на ефективна съдебна защита. С оглед на целта на посочения регламент, която — в изпълнение на членове 7 и 8 от Хартата — е да се осигури ефективна защита на основните права и свободи на физическите лица, последиците от упражняването на правото на жалба не могат да се тълкуват ограничително. Следователно запитващата юрисдикция е склонна да възприеме тълкуване, съгласно което решението по същество на надзорния орган подлежи на пълен съдебен контрол, като все пак се има предвид, че този орган разполага както с право на преценка, така и с дискреционна власт и че може да бъде задължен да предприеме действия, само ако няма законни алтернативи.

21.

На второ място, запитващата юрисдикция иска да се установи дали е законосъобразно съхраняването от агенции за икономически справки на данни от публични регистри. В това отношение запитващата юрисдикция уточнява, че тези агенции получават от държавата всички вписвания от публичните регистри, в случая — от регистъра на длъжниците и от регистъра по несъстоятелност. Според HBDI тези данни се използват за оценка на кредитоспособността и могат да бъдат съхранявани толкова, колкото е необходимо за целите, за които се съхраняват. Освен това при липсата на приета от националния законодател правна уредба надзорните органи приели кодекси за поведение след съгласуване със сдружението на агенциите за икономически справки, като тези кодекси за поведение предвиждат изтриване в деня, в който изтичат три години от вписването в базата данни.

22.

Според запитващата юрисдикция с оглед на членове 7 и 8 от Хартата възниква въпросът дали вписванията от публичните регистри могат да се възпроизвеждат дословно в частни регистри, без да е налице конкретен повод за съхраняването на данните. В крайна сметка ставало въпрос за резервно съхраняване на данните, особено когато в националния регистър те вече са били изтрити поради изтичането на срока за съхраняването им. Освен това SCHUFA било само една от многото агенции за икономически справки, така че в Германия данните се съхранявали на множество места, което водело до значително посегателство върху основното право по член 7 от Хартата.

23.

Запитващата юрисдикция добавя, че обработването и оттам съхраняването на данните е допустимо само ако е налице едно от условията на член 6, параграф 1 от ОРЗД, с уточнението, че в случая би могъл да се приложи само член 6, параграф 1, първа алинея, буква е) от този регламент. Съмнително било обаче дали администратор като SCHUFA има легитимен интерес по смисъла на тази разпоредба. При всички случаи при наличие на легитимен интерес агенцията за икономически справки може да поиска данните от публичните регистри, докато те се съхраняват там.

24.

Освен това в член 3 от InsBekV германският законодател предвиждал информацията за освобождаването от задължения да се съхранява в регистъра по несъстоятелност само за относително кратък период от шест месеца. Тази уредба от своя страна се основава на член 79, параграф 5 от Регламент 2015/848, съгласно който държавите членки информират субектите на данните за периода, през който са достъпни личните данни, съхранявани в регистрите по несъстоятелност, за да им се даде възможност да упражняват правата си, и по-специално правото на заличаване на данни. Това право обаче щяло да отпадне при съхраняване на данните в голям брой частни регистри, в които след това данните се съхраняват за по-дълъг период от време.

25.

Освен това, дори да се приеме, че е допустимо в частни агенции за икономически справки да се съхраняват данни от публични регистри, то тогава възниква въпросът дали одобрените кодекси на поведение по член 40 от ОРЗД, които предвиждат срок от 3 години за изтриването на вписвания относно освобождаване от остатъка по задължения, трябва да бъдат взети предвид при претеглянето на интереси, което изисква преценката по член 6, параграф 1, първа алинея, буква е) от ОРЗД.

26.

При тези обстоятелства Verwaltungsgericht Wiesbaden (Административен съд Висбаден) решава да спре производството и да постави на Съда следните преюдициални въпроси:

IV.

Производството пред Съда

27.

Актът за преюдициално запитване по дело C‑26/22 от 23 декември 2021 г. постъпва в секретариата на Съда на 11 януари 2022 г. Актът за преюдициално запитване по дело C‑64/22 от 31 януари 2022 г. постъпва в секретариата на Съда на 2 февруари 2022 г.

28.

С решение на Съда от 11 февруари 2022 г. тези дела са съединени за целите на писмената и устната фаза на производството и на съдебното решение.

29.

Страните в главното производство, SCHUFA, германското и португалското правителство, както и Европейската комисия представят писмени становища в определения в член 23 от Статута на Съда на Европейския съюз срок.

30.

В съдебното заседание от 26 януари 2023 г. представят устни становища процесуалните представители на страните в главното производство, на SCHUFA и на Комисията.

V.

Правен анализ

А.

Предварителни бележки

31.

Тъй като взаимното доверие е в основата на всяко договорно задължение в условията на пазарна икономика, от икономическа гледна точка по принцип е разбираемо, че доставчиците на услуги и стоки желаят да познават клиентите си, както и присъщите на такова договорно задължение рискове. Агенциите за икономически справки могат да допринесат за установяването на това взаимно доверие чрез статистически методи, позволяващи на предприятията да установят дали в случая са изпълнени определени релевантни критерии, включително кредитоспособността на клиентите им. По този начин те помагат на предприятията да спазват различни разпоредби от правото на Съюза, което им налага именно такова задължение за определени категории договори, по-специално договорите за кредит ( 4 ). Тези агенции обаче не са единствените, които предоставят такива услуги. Съзнавайки необходимостта от гарантиране на известна прозрачност и предвидимост във финансовите сделки, законодателят на Съюза изисква от държавите членки да създадат и водят един или повече регистри, в които се публикува информация за производствата по несъстоятелност.

32.

От това следва, че успоредно съществуват няколко бази данни, а именно, от една страна, „официалните“ регистри, управлявани от публичните органи, и от друга страна, базите данни, администрирани от частни дружества. Това паралелно съществуване може да доведе до конкуренция между системите и дори да предизвика правни конфликти, ако правните режими, на които са подчинени тези регистри, се различават значително помежду си. Различията в правната уредба могат да станат особено проблемни, ако засягат защитата на данните, тъй като независимо дали субектът, който управлява регистъра, е публичноправен, или частноправен, той трябва да зачита интересите на субектите на данните при начина на управлението и вписването на тези данни. Всъщност е необходима особена бдителност, тъй като информацията относно икономическото положение на дадено лице се характеризира със своя чувствителен характер по отношение на зачитането на правото на защита на личните данни и на личния живот.

33.

ОРЗД, който е приложим от 25 май 2018 г., създава правна рамка, която има за цел да вземе предвид посочените по-горе интереси в целия Съюз, по-специално като налага определени условия при обработването на лични данни. Така член 6, параграф 1, първа алинея, буква е) от ОРЗД изисква обработването да е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни. С други думи, законосъобразността на обработването трябва да произтича от претегляне на различните засегнати интереси, като преследваните от администратора или от трето лице легитимни интереси трябва да имат преимущество. Надзорният орган, който съгласно член 77, параграф 1 от ОРЗД трябва да разгледа всяка евентуална жалба на субекта на данни, свързана с нарушаването на основните му права, следва да провери дали тези условия са изпълнени. Накрая, ако това лице реши да подаде жалба срещу решенията на надзорния орган в съответствие с член 78, параграф 1 от ОРЗД, националните юрисдикции трябва да осигурят ефективен съдебен контрол.

34.

Предходните точки от настоящото заключение обобщават накратко различните правни аспекти, изтъкнати от запитващата юрисдикция в нейните преюдициални запитвания. Първият въпрос се отнася до правното естество на решението, взето от надзорния орган, до който е подадена жалба, както и до обхвата на съдебния контрол, който съдът може да упражни в рамките на производство по обжалване на такова решение. Вторият, третият, четвъртият и петият въпрос се отнасят по същество до законосъобразността на съхраняването на лични данни от публични регистри в агенции за икономически справки. Преюдициалните въпроси ще бъдат разгледани по-долу в реда, в който са поставени от запитващата юрисдикция.

Б.

По първия преюдициален въпрос

35.

Като се има предвид, че първият въпрос се отнася до двата етапа на производството по обжалване по административен ред, а именно жалбата до надзорния орган и обжалването по съдебен ред пред съдебен орган, уредени съответно в членове 77 и 78 от ОРЗД, считам за уместно да опиша накратко тези два етапа и по този начин да разгледам правните аспекти, във връзка с които запитващата юрисдикция поставя въпроси.

36.

Както посочих в предварителните си бележки, ОРЗД има за цел да осигури защитата на физическите лица при обработването на лични данни, която е призната като основно право в член 8, параграф 1 от Хартата, както и в член 16, параграф 1 ДФЕС. Тъй като всяко обработване на лични данни може да окаже въздействие върху личния живот, трябва да се посочи и защитата, гарантирана от член 7 от Хартата ( 5 ). Освен това от член 1, параграф 2 от ОРЗД във връзка със съображения 10, 11 и 13 от този регламент следва, че законодателят на Съюза поверява тази задача на органите, службите и агенциите на Съюза, но също и на компетентните органи на държавите членки, сред които са надзорните органи и националните съдилища ( 6 ).

1.

Ролята на надзорните органи, включително задължението за разглеждане на жалби

37.

В това отношение следва да се отбележи, че съгласно член 8, параграф 3 от Хартата спазването на правилата относно защитата на личните данни подлежи на контрол от независим орган. Член 57, параграф 1, буква а) от ОРЗД изпълнява това произтичащо от първичното право задължение, като предвижда, че всеки надзорен орган има за задача да наблюдава и осигурява прилагането на този регламент. Разглеждането на жалбите, подадени от даден субект на данни, е част от неговите отговорности, както изрично следва от член 57, параграф 1, буква е) от ОРЗД.

38.

Съдът е постановил, че по силата на тази разпоредба „всеки надзорен орган е длъжен на своята територия да разглежда жалбите, които всяко лице има право да подаде в съответствие с член 77, параграф 1 от [ОРЗД], когато счита, че обработване на свързани с него лични данни представлява нарушение на посочения регламент, и да разглежда предмета им, доколкото това е необходимо“ ( 7 ). Във връзка с това следва да се обърне внимание на факта, че Съдът е подчертал задължението на надзорния орган да „разгледа такава жалба с цялата дължима грижа“, за да гарантира спазването на разпоредбите на ОРЗД. Също така следва да се отбележи, че в съображение 141 от ОРЗД се уточнява, че „[p]азследването въз основа на жалби следва да се извършва […] в целесъобразна за конкретния случай степен“ (курсивът е мой).

39.

Всички тези обстоятелства ме карат да мисля, че надзорният орган има императивно задължение да разглежда жалбите, подадени от субект на данните, при това с цялата дължима грижа, която се изисква в конкретния случай ( 8 ). Доколкото всяко нарушение на ОРЗД по принцип може да представлява засягане на основните права, струва ми се несъвместимо с установената от този регламент система да се предостави на надзорния орган дискреционна власт да разглежда или не жалбите. Подобен подход би поставил под въпрос поверената му от ОРЗД ключова роля да следи за спазването на правилата относно защитата на личните данни, и следователно би бил в противоречие с преследваните от законодателя на Съюза цели ( 9 ). В крайна сметка не трябва да се забравя, че жалбите представляват ценен източник на информация за надзорния орган, който му позволява да разкрива нарушенията ( 10 ).

40.

Това тълкуване е още по-убедително, тъй като член 57, параграф 1, буква е) от ОРЗД налага на надзорния орган поредица от изисквания при разглеждането на такава жалба, а именно задължението да разследва предмета на жалбата, доколкото това е целесъобразно, и да информира жалбоподателя за напредъка и резултатите от разследването в разумен срок, особено ако е необходимо по-нататъшно разследване или координиране с друг надзорен орган. Към това се прибавя посоченото в член 77, параграф 2 от ОРЗД задължение за информиране на жалбоподателя за напредъка в разглеждането на жалбата и за резултата от нея, включително за възможността за съдебна защита съгласно член 78 от ОРЗД. Всички тези изисквания, които попадат в обхвата на понятието „добра администрация“, което е намерило израз в член 41 от Хартата, що се отнася конкретно до дейностите на институциите и органите на Съюза ( 11 ), имат за цел да укрепят процедурата по обжалване, за да я превърнат в истинско административно средство за правна защита.

41.

Макар надзорният орган, като гарант за спазването на разпоредбите на ОРЗД, да е длъжен да разглежда подадените до него жалби, няколко елемента подкрепят тълкуване, според което той разполага с право на преценка при разглеждането на тези жалби, както и с известна свобода на действие, що се отнася до избора на подходящите средства за изпълнение на задачите си. Всъщност генерален адвокат Saugmandsgaard Øe отбелязва, че член 58, параграф 1 от ОРЗД „предоставя на надзорните органи значителни правомощия за разследване“ и че по силата на член 58, параграф 2 от този регламент те разполагат с „широк набор от средства […] за да изпълнява[т] възложената [им] задача“, като в този контекст се позовава на различните корективни правомощия, изброени в тази разпоредба ( 12 ). След това генералният адвокат уточнява, че макар компетентният надзорен орган да „е длъжен да изпълнява изцяло поверените му задачи за надзор“, „изборът на най-ефикасното средство зависи от [неговата] преценка […] с оглед на всички обстоятелства“ ( 13 ). Мога само да се съглася с това тълкуване.

42.

Подробното описание на корективните правомощия на надзорните органи показва, че законодателят на Съюза не е имал за цел процедурата по подаване на жалби да се превърне в процедура, сходна с тази на петицията. Напротив, изглежда, че законодателната цел е да се създаде механизъм, който да може да защити ефикасно правата и интересите на лицата, които подават жалби. При това положение ми изглежда ясно, че тази свобода на действие не може да се тълкува в смисъл, че надзорният орган разполага с неограничено правомощие, което му дава право да действа по произволен начин. Тъкмо напротив, надзорният орган е длъжен да упражни посочената свобода на действие, като спазва наложените му от правото на Съюза ограничения. Също по тази причина не може да се изключи възможността надзорният орган в качеството си на административен орган да бъде принуден да приеме определена мярка поради особените обстоятелства на случая, по-специално когато е налице сериозна опасност от засягане на основните права на субекта на данните.

43.

Това тълкуване, което предоставя на надзорния орган определена свобода на действие при избора на средства, се подкрепя от член 58, параграф 4 от ОРЗД, който предвижда, че „[у]пражняването на правомощията, предоставени на надзорния орган по силата на настоящия член, се осъществява при осигуряване на подходящи гаранции, в т.ч. ефективни съдебни средства за правна защита“ (курсивът е мой), съгласно член 47 от Хартата. Член 78, параграфи 1 и 2 от ОРЗД освен това признава на всяко лице правото на ефективна съдебна защита срещу отнасящо се до него решение със задължителен характер на надзорен орган или когато този орган не е разгледал жалбата му.

44.

Това ни води до въпроса относно правната природа на приетите от надзорния орган решения, който запитващата юрисдикция повдига в преюдициалните си запитвания. В това отношение следва да се посочи съображение 141 от ОРЗД, от което е видно, че „[в]секи субект на данни следва да има право да подаде жалба до […] надзорен орган […] както и право на ефективни правни средства за защита в съответствие с член 47 от Хартата, ако счита, че правата му по настоящия регламент са нарушени или ако надзорният орган не предприема действия по подадена жалба, изцяло или частично отхвърля или оставя без разглеждане жалба или не предприема действия, когато такива са необходими, за да се защитят правата на субекта на данни“ (курсивът е мой). Това съображение държи сметка за факта, че решението на надзорния орган може да нанесе вреди на субекта на данните, по-специално ако той заключи, че жалбата е неоснователна, приеме, че няма нарушение на ОРЗД, и поради това не предприеме мерки за коригиране на ситуацията, която е довела до подаването на жалбата. Законодателят на Съюза признава задължителния характер на такова решение и следователно предоставя на жалбоподателя средство за правна защита пред национална юрисдикция.

45.

Също така следва да се отбележи, че надзорният орган не може да не предприема действия, тъй като от член 78, параграф 2 от ОРЗД следва, че „всеки субект на данни има право на ефективна съдебна защита, когато надзорният орган, който е компетентен съгласно членове 55 и 56 не е разгледал жалбата или не е информирал субекта на данните в срок от три месеца за напредъка в разглеждането на жалбата, подадена съгласно член 77, или за резултата от нея“. Това обстоятелство не позволява процедурата по подаване на жалби да се приравни на петиция.

46.

В настоящия случай, както посочва запитващата юрисдикция в преюдициалните си запитвания, надзорният орган е приел решения със задължителен характер по отношение на жалбоподателите в главното производство. По същество той констатира, че обработването на личните данни на жалбоподателите от SCHUFA е законосъобразно по силата на член 6, параграф 1, първа алинея, букви б) и е) от ОРЗД, и поради това имплицитно изключва прибягването до мерки по разследване или упражняването на корективни правомощия.

2.

Обхват на съдебния контрол върху решенията на надзорния орган

47.

Уредената в член 78 от ОРЗД съдебна защита е вторият етап от предвиденото в този регламент средство за защита по административен ред. В този контекст следва да се отбележи, че както „жалбата“ до надзорния орган, така и „съдебната защита“ са замислени като „права“ на субекта на данните, което е напълно разбираемо, ако се изхожда от идеята, че членове 77—79 от ОРЗД имат за цел да приведат в действие прогласеното в член 47 от Хартата право на ефективни правни средства за защита. Както посочих по-горе ( 14 ), тълкуването на член 58, параграф 4 във връзка с член 78 от ОРЗД с оглед на съображение 141 от този регламент позволява ясно да се установи тази цел ( 15 ).

48.

Що се отнася до обхвата на съдебния контрол върху решенията на надзорния орган, следва да се припомни, че националните правила в областта на административното производство обикновено се прилагат в рамките на процесуалната автономия, при спазване на принципите на равностойност и ефективност ( 16 ). Считам обаче, че едно правно средство за защита може да бъде „ефективно“ по смисъла на член 47 от Хартата и на член 78, параграф 1 от ОРЗД само ако компетентната национална юрисдикция има правомощието и задължението да подложи на пълен съдебен контрол решението по същество на надзорния орган, за да се провери дали надзорният орган е приложил правилно ОРЗД.

49.

Както Съдът вече е припомнил в практиката си, „правна уредба, в която не се предвижда никаква възможност правният субект да използва правни средства за защита, за да получи достъп до засягащи го лични данни или да поправи или заличи такива данни, не зачита същественото съдържание на основното право на ефективна съдебна защита, признато в член 47 от Хартата. Всъщност в член 47, първа алинея от Хартата се изисква всеки, чиито права и свободи, гарантирани от правото на Съюза, са били нарушени, да има право на ефективни правни средства за защита пред съд в съответствие с предвидените в този член условия. В това отношение самото наличие на ефективен съдебен контрол, чието предназначение е да гарантира спазването на разпоредбите от правото на Съюза, е неделимо свързано със съществуването на правовата държава“ ( 17 ).

50.

За да се определи обхватът на съдебния контрол върху решенията на надзорния орган, ми се струва релевантно, първо, да се посочи съображение 141 от ОРЗД, от което следва, че „[р]азследването въз основа на жалби следва да се извършва под съдебен контрол и в целесъобразна за конкретния случай степен“ (курсивът е мой). По-нататък, следва да се посочи съображение 143 от ОРЗД, което предвижда, че „всяко физическо или юридическо лице има право на ефективни правни средства за защита пред компетентен национален съд срещу решение на надзорен орган, което има правни последици за това лице. Подобно решение се отнася по-специално за упражняването на правомощията за разследване, даване на разрешение и корективните правомощия на надзорния орган или оставянето без разглеждане или отхвърлянето на жалби“ (курсивът е мой). Според мен тези пасажи трябва да се разбират в смисъл, че съдебният контрол, който националната юрисдикция трябва да извърши по силата на член 78 от ОРЗД, трябва да бъде пълен съдебен контрол, т.е. трябва да обхваща всички относими аспекти, които попадат в обхвата на правото на преценка, упражнявано от надзорния орган при разглеждането на предмета на жалбата, както и на свободата му на преценка при избора на мерки по разследване и корективни мерки.

51.

Целта на законодателя на Съюза да гарантира пълен съдебен контрол върху всяко решение на надзорен орган, което поражда правни последици по отношение на субект на данни, подал жалба пред него, става особено ясна, ако се вземе предвид друг пасаж от съображение 143 от ОРЗД, в който се посочва, че „[п]роизводствата срещу надзорния орган следва да се завеждат пред съдилищата на държавата членка, в която е установен надзорният орган, и следва да се водят в съответствие с процесуалното право на тази държава членка. Тези съдилища следва да разполагат с пълна компетентност, която следва да включва компетентност за разглеждане на всички фактически и правни въпроси, свързани с разглеждания спор“ (курсивът е мой) ( 18 ). Считам, че само съдебен контрол с такъв обхват отговаря на изискванията на член 47 от Хартата ( 19 ).

52.

За сметка на това доводите на SCHUFA и HBDI, които те изтъкват в полза на ограничен съдебен контрол върху решенията на надзорните органи, не ми изглеждат убедителни. Първо, признатата от член 52 от ОРЗД „независимост“ на надзорния орган, която конкретизира изискването по член 8, параграф 3 от Хартата, има за цел да защити този орган от всяка неправомерна намеса, но не го освобождава от задължението да изпълнява задачите си и да упражнява правомощията си при пълно спазване на правото на Съюза, и да подложи решенията си на ефективен съдебен контрол, както всеки друг национален орган. Второ, съществуването на предвиденото в член 79 от ОРЗД право на съдебна защита срещу администратора не изключва правото на подаване на жалба срещу решение на надзорния орган съгласно член 78 от ОРЗД. Тези способи за правна защита съществуват едновременно и самостоятелно, без единият да бъде спомагателен спрямо другия, така че те могат да се упражняват успоредно ( 20 ). Следователно жалбоподателите не могат да бъдат упрекнати, че са действали незаконосъобразно при защитата на правата си, закрепени от ОРЗД, поради това че са предпочели определено средство за правна защита. Следователно тези доводи следва да се отхвърлят.

53.

С оглед на изложените по-горе съображения на първия преюдициален въпрос следва да се отговори, че член 78, параграф 1 от ОРЗД трябва да се тълкува в смисъл, че от тази разпоредба следва, че решение със задължителен характер на надзорен орган подлежи на пълен съдебен контрол по същество.

В.

По втория, третия, четвъртия и петия преюдициален въпрос

54.

Вторият, третият, четвъртият и петият преюдициален въпрос се отнасят по същество до законосъобразността на съхраняването на лични данни от публични регистри в агенции за икономически справки. Поставените от запитващата юрисдикция въпроси повдигат редица правни проблеми, свързани с тази практика, които трябва да бъдат разгледани по структуриран начин. За по-голяма яснота считам за уместно въпросите да се групират по тема и да бъдат разгледани в този ред.

55.

За да даде на запитващата юрисдикция полезен отговор, който да ѝ позволи да реши спора, с който е сезирана, Съдът ще трябва да тълкува няколко разпоредби от ОРЗД, които, макар да не са изрично посочени във въпросите, изглеждат релевантни. Такъв подход е възможен, като се има предвид, че съгласно постоянната съдебна практика Съдът може да изведе от цялата информация, предоставена от запитващата юрисдикция, и по-специално от мотивите на акта за преюдициално запитване, нормите и принципите на правото на Съюза, които изискват тълкуване предвид предмета на спора в главното производство ( 21 ).

56.

Подобен задълбочен анализ ми се струва още по-необходим, тъй като във въпросите си запитващата юрисдикция се позовава понякога изключително на членове 7 и 8 от Хартата, въпреки че тези разпоредби не трябва да се прилагат изолирано, както Съдът е обяснил, а следва да се вземат предвид при предвиденото в член 6, параграф 1, първа алинея, буква е) от ОРЗД претегляне на интереси ( 22 ). Освен това в тази връзка ще припомня, че доколкото разпоредбите на ОРЗД прилагат разглежданите основни права, тълкуването на вторичното право логично представлява отправна точка за всеки критичен прочит, тъй като то трябва да се разглежда в светлината на първичното право, от което Хартата е неразделна част ( 23 ). Ето защо в анализа по-долу ще включа всички разпоредби, които ми се струват релевантни.

1.

По съответствието на практиката на агенциите за икономически справки със закрепените в ОРЗД принципи на обработването на лични данни

57.

Глава II от ОРЗД е озаглавена „Принципи“ и установява принципите, свързани с обработването на личните данни. По-долу ще разгледам дали практиката на агенциите за икономически справки за съхраняване на лични данни от публични регистри за срок от три години е в съответствие с най-релевантните според мен в настоящия контекст принципи, а именно принципите на законосъобразност, на ограничение на целите и на свеждане на данните до минимум.

58.

За целите на анализа ще се позовавам на предоставената от запитващата юрисдикция и SCHUFA информация, като подчертавам все пак, че в съответствие с установения в член 5, параграф 2 от ОРЗД принцип на отчетност последното в качеството си на администратор трябва да докаже, че горепосочените принципи са спазени.

а)

Относно съответствието с принципа на законосъобразност (член 6, параграф 1, първа алинея, буква е) от ОРЗД)

59.

Член 5, параграф 1, буква а) от ОРЗД изисква личните данни да се обработват законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните. Съгласно член 6, параграф 1 от ОРЗД обработването на лични данни е законосъобразно само ако е изпълнено условието, свързано с някое от изброените в него основания. Както Съдът е постановил, става въпрос за изчерпателен списък на случаите, в които такова обработване може да се счита за законосъобразно ( 24 ). Запитващата юрисдикция иска по същество да се установи дали член 6, параграф 1, първа алинея, буква е) от ОРЗД разрешава частна агенция за икономически справки да съхранява лични данни от публични регистри, за да предостави тези данни на разположение на клиент при поискване.

60.

Според практиката на Съда ( 25 ) член 6, параграф 1, първа алинея, буква е) от ОРЗД предвижда три кумулативни условия, за да бъде обработването на лични данни законосъобразно, а именно, първо, администраторът или третото лице, или третите лица, на които се съобщават данните, да преследват легитимни интереси, второ, обработването на личните данни да е необходимо за целите на преследваните легитимни интереси и трето, основните права и свободи на лицето, ползващо се от защитата на данните, да нямат преимущество. Макар че запитващата юрисдикция трябва да прецени дали тези условия са изпълнени, Съдът трябва да я насочи при тази преценка, като изясни поставените правни въпроси.

1)

Наличието на „легитимен интерес“

61.

Най-напред, що се отнася до условието да бъдат преследвани „легитимни интереси“, държа да припомня, че ОРЗД и съдебната практика признават широк кръг от интереси за легитимни ( 26 ), като същевременно уточняват, че в съответствие с член 13, параграф 1, буква г) от ОРЗД администраторът трябва да посочи легитимните интереси, които преследва в рамките на член 6, параграф 1, първа алинея, буква е) от ОРЗД.

62.

SCHUFA изтъква, че разглежданото обработване на данни служи за преследването на легитимни интереси от голямо значение. По-конкретно, агенциите за икономически справки обработвали данни, необходими за оценката на кредитоспособността на лица или предприятия, за да могат да предоставят тази информация на своите договорни партньори. Това защитавало и икономическите интереси на предприятията, които желаят да сключват договори, свързани с предоставянето на кредит. Освен това определянето на кредитоспособността и предоставянето на справки за кредитоспособността представлявали основата на предоставянето на кредит и на способността на икономиката да функционира. Дейността на тези агенции също допринасяла за конкретизиране на търговските желания на заинтересованите лица от операциите, свързани с предоставянето на кредит, тъй като справките позволявали бързо разглеждане без бюрокрация.

63.

Считам, че по принцип не съществува никаква обективна причина за съмнения в легитимността на интереса на SCHUFA да предоставя на клиентите си описаната по-горе търговска услуга, нито на интереса на клиентите на SCHUFA да използват нейните услуги, за да оценяват кредитоспособността на потенциални търговски партньори в посочения смисъл. Макар да е вярно, че предоставянето на този вид услуги има за цел получаването на възнаграждение и следователно представлява икономическия модел на частно дружество, това обстоятелство не е достатъчно само по себе си, за да постави под въпрос факта, че първото условие по член 6, параграф 1, първа алинея, буква е) от ОРЗД е изпълнено в настоящия случай.

64.

Още повече че преследваната от разглежданата услуга цел по същество е сходна с тази, която законодателят на Съюза е посочил с приемането на член 24 от Регламент 2015/848, който задължава държавите членки да създават и поддържат на своята територия един или повече регистри, в които се публикува информация относно производства по несъстоятелност. Както е посочено в съображение 76 от този регламент, целта на тези публични регистри е „подобряване на предоставянето на информация на съответните кредитори и съдилища и предотвратяване на образуването на паралелни производства по несъстоятелност“. Струва ми се, че предлаганата от SCHUFA услуга няма друга цел. Въпросът дали паралелните системи могат да доведат до правни конфликти, ще бъде разгледан по-долу. На този етап от анализа е достатъчно да се приеме, че с оглед на тази идентичност на целите трябва да се счита, че извършваното от SCHUFA обработване на данни обслужва легитимен интерес по смисъла на член 6, параграф 1, първа алинея, буква е) от ОРЗД.

2)

„Необходимост“ от обработването за постигане на легитимен интерес

65.

Що се отнася до условието обработването на личните данни да е необходимо за реализирането на преследвания легитимен интерес, според практиката на Съда дерогации и ограничения на принципа на защита на личните данни се предвиждат само доколкото това е строго необходимо ( 27 ). Следователно при липсата на алтернативи, които зачитат защитата на личните данни в по-голяма степен, е необходимо да е налице тясна връзка между обработването и преследвания интерес, защото не е достатъчно обработването да е просто от полза за администратора.

66.

В настоящия случай следва да се докаже, че събирането на лични данни за несъстоятелността от публични регистри и тяхното частно съхранение представляват единствената възможност SCHUFA да предостави точно тази информация на своите клиенти за стопански цели. Не може да се изключи възможността SCHUFA да предлага търговската услуга и да предоставя информация относно кредитоспособността на лицата, като използва други налични данни. Запитващата юрисдикция следва да провери дали тази възможност позволява още на SCHUFA да предлага по полезен начин тази търговска услуга на своите клиенти.

67.

SCHUFA счита, че обработването на данни е необходимо. Според него, ако дадена агенция за икономически справки изчаква конкретно искане, преди да започне да събира данни, би било невъзможно да предоставя справки своевременно. SCHUFA счита, че фактът, че данните са достъпни (също) за обществеността през определен период от време, не оказва влияние по никакъв начин върху легитимните интереси на агенциите за икономически справки, нито върху необходимостта от обработването.

68.

Ако съхранението на лични данни от публични регистри не е необходимо, за да може SCHUFA да предлага търговската си услуга на своите клиенти, това обработване не може да бъде законосъобразно на основание член 6, параграф 1, първа алинея, буква е) от ОРЗД. За сметка на това, ако второто условие от тази разпоредба е изпълнено, запитващата юрисдикция ще трябва да разгледа още третото и последно кумулативно условие от посочената разпоредба.

3)

Претегляне на различните засегнати интереси

69.

Накрая, що се отнася до претеглянето, от една страна, на интересите на администратора, и от друга — на интересите или на основните права и свободи на субекта на данните, според практиката на Съда запитващата юрисдикция трябва да претегли засегнатите интереси ( 28 ). В това отношение Насоките на бившата „Работна група по член 29“, понастоящем „Европейски комитет по защита на данните“, чиито задачи са определени в член 70 от ОРЗД, изброяват следните критерии, които следва да се вземат предвид при това претегляне: i) преценката на легитимния интерес на администратора; ii) въздействието върху субектите на данните; iii) предварителния баланс и iv) допълнителните гаранции, прилагани от администратора за предотвратяване на всяко необосновано въздействие върху субектите на данни ( 29 ). В интерес на подробен и логически анализ предлагам тези критерии да се приложат към делата по главните производства. Подобен подход ще допринесе и за по-последователното прилагане на ОРЗД, в съответствие с целите на законодателя на Съюза.

i)

Преценка на „легитимния интерес“ на администратора

70.

Що се отнася до първия критерий, следва да се констатира, че интересът както на SCHUFA, така и на неговите клиенти е от чисто икономическо естество. Частни дружества съхраняват пренесени от публични регистри лични данни, за да предложат на клиентите си услугата по предоставяне на справки за кредитоспособността на субекта на данните, като използват по-специално тези данни. Както вече обясних по-горе ( 30 ), подобен интерес изглежда легитимен за целите на настоящия анализ.

ii)

Въздействие на обработването върху субектите на данните

71.

Що се отнася до втория критерий, т.е. въздействието на обработването върху субекта на данните, изглежда, че релевантният фактор е срокът за изтриване. Колкото по-дълъг е срокът на съхраняване на данните в бази данни на частни агенции за икономически справки, толкова по-значими са последиците за субекта на данните. В настоящия случай личните данни на жалбоподателите в главното производство са обработени в публичния регистър „[с] оглед подобряване на предоставянето на информация на съответните кредитори и съдилища и предотвратяване на образуването на паралелни производства по несъстоятелност“, както изисква съображение 76 от Регламент 2015/848. При претеглянето на различните интереси германският законодател е приел, че периодът, през който публикуването на данни относно производство по несъстоятелност в такива публични регистри е необходимо за постигането на тази цел, е шест месеца. Следователно съхранението на лични данни след този шестмесечен период изглежда a priori, че има значително отрицателно въздействие върху субекта на данните.

72.

От практиката на Съда следва, че съществуват други фактори, които също трябва да се вземат предвид при анализа, а именно условията за достъп до базите данни, както и улесненията, предоставени за целите на разпространението на личните данни ( 31 ). Просто казано, колкото информацията е по-леснодостъпна за обществеността, толкова по-сериозна е намесата в основните права на субекта на данните. Това важи с особена сила, когато броят на потребителите, които имат достъп до данните на субекта на данни, е значителен ( 32 ). Ето защо ми се струва очевидно, че макар данните вече да са достъпни в публични регистри през този период от шест месеца, фактът, че са съхранявани и достъпни паралелно в базите данни на частните агенции за икономически справки, има допълнително въздействие върху личния живот на лицето, което се прибавя към отрицателните последици от наличието на тези данни в публичните регистри.

73.

Допълнителен фактор, който трябва да се вземе предвид при анализа, е евентуално чувствителният характер на разглежданите данни ( 33 ). Като цяло може да се твърди, че въздействието върху субекта на данните нараства в зависимост от чувствителността на личните данни. В това отношение следва да се отбележи, че съгласно практиката на Съда личните данни относно събирането на вземания действително са чувствителни данни за личния живот на субекта на данните ( 34 ). Следователно предоставянето на този вид данни на разположение на по принцип неограничен брой потребители трябва да се счита за значителна намеса в основните права на това лице ( 35 ).

74.

Накрая, струва ми се необходимо да се вземе предвид и факторът време. Всъщност дори законосъобразно обработване на данни може с времето вече да не съответства на ОРЗД, когато тези данни не са или вече не са релевантни, или са прекомерни с оглед на целта, за която са събирани първоначално. От тази гледна точка се питам сериозно как съхраняването на лични данни би могло да бъде обосновано за период от три години, докато националният законодател счита, че период на съхранение от шест месеца, т.е. явно много по-кратък период, е достатъчен в голяма степен, за да се отчетат търговските интереси на икономическите оператори. Държа да отбележа, че SCHUFA не е било в състояние да даде ясен и убедителен отговор на този въпрос ( 36 ), въпреки че по силата на член 5, параграф 2 от ОРЗД то трябва да докаже, че са спазени принципите, свързани с обработването на личните данни ( 37 ).

iii)

Предварителен баланс

75.

Преценката на всички посочени в предходните точки обстоятелства ме кара да заключа, че значителните отрицателни последици, които съхраняването на данните ще има за субекта на данните след въпросния шестмесечен период, изглежда, имат преимущество над търговския интерес на частното дружество и неговите клиенти да се съхраняват данните след този период. В този контекст е важно да се подчертае, че освобождаването от остатъка по задължения трябва да даде възможност на лицето, което се ползва от него, да участва отново в икономическия живот ( 38 ). Жалбоподателите в главните производства и Комисията също обърнаха внимание на този аспект по време на съдебното заседание. Тази цел обаче би била осуетена, ако частните агенции за икономически справки имат право да съхраняват лични данни в своите бази данни след изтриването на тези данни от публичния регистър.

iv)

Допълнителни гаранции

76.

Накрая, що се отнася до евентуално въведените от администратора допълнителни гаранции, за да се предотврати всяко необосновано въздействие върху субектите на данните, нищо в акта за преюдициално запитване или в становището на SCHUFA не сочи за съществуването на такива гаранции.

4)

Междинно заключение

77.

С оглед на изложените по-горе съображения считам, че съхраняването на данни от частна агенция за икономически справки не може да бъде законосъобразно на основание член 6, параграф 1, първа алинея, буква е) от ОРЗД от момента, в който личните данни, свързани с несъстоятелността, са били изтрити от публичните регистри.

78.

Що се отнася до шестмесечния период, през който личните данни са достъпни и в публични регистри, запитващата юрисдикция трябва да претегли гореспоменатите интереси и последици за субекта на данните, за да установи дали паралелното съхранение на тези данни от частни агенции за икономически справки е законосъобразно на основание член 6, параграф 1, първа алинея, буква е) от ОРЗД.

б)

Относно съответствието с принципите за ограничение на целите и свеждане на данните до минимум (член 5, параграф 1, букви б) и в) от ОРЗД)

79.

В съответствие с прогласения в член 5, параграф 1, буква б) от ОРЗД принцип за ограничение на целите следва да се гарантира, че събираните за конкретна цел лични данни не се обработват впоследствие по несъвместим с тези цели начин. В настоящия случай данните относно несъстоятелността и освобождаването от остатъка по задължения са обработвани от публични органи в рамките на изпълнението на законови задължения.

80.

Що се отнася обаче до последващото използване на данните от частно дружество, следва да се провери с оглед на ОРЗД и като се приложат посочените в член 6, параграф 4 от този регламент критерии дали преследваната цел е съвместима с първоначалната цел. Букви а), б) и г) от тази разпоредба са особено релевантни в случая. Те установяват следните критерии: i) връзката между първоначалната и последващата цел; ii) контекста, в който са били събрани личните данни, и по-специално отношенията между субекта на данните и администратора, както и iii) възможните последствия за субекта на данните от предвиденото по-нататъшно обработване.

81.

Първо, изглежда, че връзката между целите е слаба, най-малкото защото първоначалната цел е предвидена в закона, по-конкретно в правото на Съюза, което налага на държавите членки задължението да създават и водят регистри ( 39 ), и администраторът е публичен орган, който действа в рамките на възложените му от закона задачи, докато последващата цел е преследвана от частно образувание в рамките на търговска дейност, състояща се в предоставяне на икономически справки относно субекти на данни.

82.

Второ, що се отнася до контекста, в който са събрани данните, трябва да се отбележи, че няма никаква връзка между администратора и субекта на данните, като се има предвид, че събирането на данни се извършва непряко, посредством регистри и следователно субектът на данните не знае, че данните му могат да бъдат използвани впоследствие, нито от кого, нито за каква цел. Този аспект ми се струва особено сериозен от гледна точка на защитата на личните данни, като се има предвид, че по принцип никой не може разумно да очаква по-нататъшно обработване на неговите лични данни ( 40 ). Фактът, че законът предвижда определен срок за съхраняване на данните в публичните регистри, може основателно да наведе на мисълта, че въпросните данни ще бъдат изтрити след изтичането на този срок.

83.

Трето, що се отнася до възможните последици, които по-нататъшното обработване на данните може да има за субектите на данните, следва да се подчертае, че информацията относно производството по несъстоятелност винаги ще се използва като отрицателен фактор при бъдеща оценка на кредитоспособността и платежоспособността на съответното физическо лице, което има значително въздействие върху правата на това лице. Невярната представа за икономическото му положение може да доведе до неблагоприятни последици за субекта на данните, като значително усложни упражняването на неговите свободи и дори като го стигматизира в обществото. Доколкото субектът на данните може да се сблъска с отказ на стоки и услуги, той може да стане жертва на необоснована дискриминация.

84.

С оглед на тези три критерия, които трябва да бъдат изпълнени, за да може използването на лични данни да съответства на първоначалната цел, както изисква член 6, параграф 4 от ОРЗД, изглежда съмнително, че последващото използване на тези данни може да бъде в съответствие с тази цел.

85.

Освен това следва да се отбележи, че като определя на шест месеца максималния срок, през който се публикуват данни за положението на несъстоятелност и за съдебното решение за освобождаване от остатъка по задълженията, ако са налице законовите условия, националният законодател вече е взел предвид осъществяването на обществения интерес и е претеглил интереса на кредиторите, от една страна, и интересите, както и правата на неплатежоспособните лица, от друга страна ( 41 ). Обработването на лични данни от частни дружества в рамките на шест пъти по-дълъг период от предвидения в закона за публичните регистри изглежда прекомерно и de facto санкционира субекта на данните, въпреки че очевидно законът не предвижда подобно нещо. Всъщност, както вече посочих, предоставеното освобождаване от остатъка по задължения трябва да даде възможност на лицето, което се ползва от него, да участва отново в икономическия живот. Тази цел обаче би била осуетена, ако частните агенции за икономически справки имат право да съхраняват лични данни в своите бази данни след изтриването на тези данни от публичния регистър ( 42 ). При липсата на доказателства за противното има опасения, че условията за достъп до базата данни могат да са замислени с намерение да се заобиколи националното законодателство, прието от държавата членка в изпълнение на наложените ѝ от правото на Съюза задължения ( 43 ).

86.

Освен това изглежда непропорционално в бъдещи оценки да се „използва отново“ една минала и вече изяснена от правна гледна точка ситуация, каквато е освобождаването от остатъка по задължения, вместо да се използват актуализирани фактори към момента на анализа на риска, за да се гарантира по-точна и обективна оценка на икономическото състояние на субекта на данните. В действителност бихме могли да се запитаме за стойността на информация отпреди няколко години относно икономическото състояние на лице. Личните данни, свързани с обстоятелство отпреди известно време, изобщо няма да предоставят надеждна информация за актуалното икономическо състояние на субекта на данните. Германският законодател, изглежда, е установил този проблем и е направил правилни заключения, като е избрал значително по-кратък срок за съхранение на данните.

87.

Накрая, струва ми се, че подходът от страна на агенциите за икономически справки противоречи на закрепения в член 5, параграф 1, буква в) от ОРЗД принцип за свеждане на данните до минимум, по силата на който личните данни трябва да бъдат подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват. В това отношение действително се поставя въпросът какъв е смисълът да се предоставят на разположение лични данни, които вече са публично достъпни в създадените от държавите членки регистри. Струва ми се, че подобна дейност може по-скоро да доведе до разпространяване на чувствителна информация, която не е абсолютно необходима за удовлетворяване на търговските интереси на икономическите оператори ( 44 ).

88.

Поради изложените по-горе съображения считам, че съхраняването на тези данни от частна агенция за икономически справки не представлява практика, която е в съответствие с принципите на ограничение на целите и на свеждане на данните до минимум, установени съответно в член 5, параграф 1, букви б) и в) от ОРЗД.

в)

Междинно заключение

89.

Въз основа на направения по-горе анализ стигам до извода, че практиката на агенции за икономически справки, която се състои в съхраняване на лични данни от публични регистри за срок от три години, не съответства на закрепените в ОРЗД принципи, които регламентират обработването на лични данни. Като се има предвид това, следва да се уточни, че това заключение се основава на преценка на фактите, която в крайна сметка трябва да се направи от запитващата юрисдикция, сезирана да реши спора.

2.

По упражняването на правото на изтриване (член 17, параграф 1 от ОРЗД)

90.

Запитващата юрисдикция иска също да се установи дали закрепеното в член 17 от ОРЗД право „да бъдеш забравен“, предполага личните данни да бъдат изтрити от базите данни на частна агенция за икономически справки, които съществуват успоредно с публичните регистри и съдържат същите данни. Запитващата юрисдикция прави разграничение между периода, през който личните данни са на разположение и в публичния регистър, и периода, през който тези данни вече не са налични в него.

91.

Член 17, параграф 1, буква г) от ОРЗД предвижда абсолютно право на субекта на данните личните му данни да бъдат изтрити, когато са били обработвани незаконосъобразно ( 45 ). Следователно в хипотезата, при която — предвид извода, до който стигнах в рамките на анализа си ( 46 ) — запитващата юрисдикция приеме, че SCHUFA не е могло законосъобразно да обработва личните данни на жалбоподателите въз основа на член 6, параграф 1, първа алинея, буква е) от ОРЗД, подобно обработване би било незаконосъобразно, ако не е приложимо никое друго основание от посочените в член 6, параграф 1 от ОРЗД. В такъв случай SCHUFA ще бъде длъжно да изтрие личните данни на жалбоподателите, и последните ще имат право на това, и то независимо дали са поискали изтриване на данните в период, предхождащ, или последващ изтриването на тези данни от публичния регистър. Подобен резултат изглежда в съответствие и с изискванията на член 5, параграф 1, буква д) от ОРЗД, който гласи, че личните данни трябва да бъдат „съхранявани във форма, която да позволява идентифицирането на субекта на данните за период, не по-дълъг от необходимото за целите, за които се обработват личните данни“ (курсивът е мой).

92.

В това отношение държа да привлека вниманието върху член 79, параграф 5 от Регламент 2015/848, който подчертава значението, което законодателят на Съюза отдава на правото на изтриване, по-специално когато органите обработват лични данни с особено чувствителен характер, като тези, свързани с кредитоспособността на субектите на данните. В съответствие с тази разпоредба, „[к]ато част от информацията, която следва да се предоставя на субектите на данните, за да им се даде възможност да упражняват правата си, и по-специално правото на заличаване на данни, държавите членки информират субектите на данните за периода, през който са достъпни личните данни, съхранявани в регистрите по несъстоятелност“ (курсивът е мой). Законодателят на Съюза очевидно е признал необходимостта от изтриване на този вид данни, когато тяхното съхранение вече не е оправдано.

93.

Въпреки че преюдициалните запитвания се отнасят само до тълкуването на член 17, параграф 1, буква г) от ОРЗД, считам, че буква в) от параграф 1 може да се окаже също релевантна за целите на решението, което трябва да се постанови по настоящите дела, а именно в хипотезата, в която запитващата юрисдикция — противно на извода, до който стигнах въз основа на наличната информация — приеме, че SCHUFA е можело законосъобразно да обработва личните данни на жалбоподателите по силата на член 6, параграф 1, първа алинея, буква е) от ОРЗД. Тази разпоредба предвижда правото на изтриване на личните данни, когато субектът на данните възразява срещу обработването съгласно член 21, параграф 1 от ОРЗД и няма законни основания за обработването, които да имат преимущество. Тази формулировка предполага, че всяко „законно основание за обработването, което има преимущество“, представлява изключение от правото на субекта на данните да възрази срещу обработването и да поиска изтриване на неговите лични данни. Следователно се презумира, че субектът на данните има право да възрази срещу обработването, и разполага с право на изтриване, освен ако са налице законни основания, които имат преимущество ( 47 ).

94.

Считам, че в интерес на ефективната защита на личните данни не би трябвало да съществуват съществени пречки за упражняването на правото на изтриване, и по-специално когато на пазара има няколко агенции за икономически справки, които съхраняват данни паралелно с публичния регистър. Ако упражняването на това право бъде прекомерно затруднено поради стриктно тълкуване на член 17, параграф 1 от ОРЗД, съществува опасност защитата, която ОРЗД има за цел да предостави, да бъде заобиколена от конкуренти. Следва обаче да се припомни, че законодателят на Съюза е имал за цел да „осигури последователно и еднородно прилагане в рамките на Съюза на правилата за защита на основните права и свободи на физическите лица във връзка с обработването на лични данни“, както следва от съображение 10 от ОРЗД. Следователно субектът на данните трябва да е в състояние да предяви правата си по отношение на всички дружества, които нарушават тези правила. Като се има предвид, че SCHUFA е само една от многото големи агенции за икономически справки в Германия, ще е необходимо да се установи дали съхраняването на лични данни паралелно със съхраняването им в публичния регистър представлява разпространена практика сред тези агенции.

95.

Ето защо на този етап от анализа следва да се приеме, че жалбоподателите по принцип могат да се позовават на правото на изтриване съгласно член 17, параграф 1 от ОРЗД. Резултатът би бил различен само в случай че частна агенция за икономически справки е успяла да „докаже, че съществуват убедителни законови основания за обработването, които имат предимство пред интересите, правата и свободите на субекта на данни“ по смисъла на член 21, параграф 1 от ОРЗД. Доколкото наличната информация не позволява да се установят основания за обработването, които имат предимство и които биха могли да възникнат в спора по главното производство, запитващата юрисдикция следва да установи фактите и евентуално да претегли засегнатите интереси.

96.

С оглед на гореизложените съображения член 17, параграф 1, буква г) от ОРЗД трябва да се тълкува в смисъл, че субектът на данните има право да поиска от администратора изтриване на свързаните с него лични данни без ненужно забавяне, когато тези данни са били обработвани незаконосъобразно съгласно член 6, параграф 1 от този регламент. Член 17, параграф 1, буква в) от ОРЗД трябва да се тълкува в смисъл, че субектът на данните по принцип има право да поиска от администратора изтриване на свързаните с него лични данни без ненужно забавяне, когато възразява срещу обработването съгласно член 21, параграф 1 от този регламент. Запитващата юрисдикция трябва да провери дали по изключение са налице убедителни законови основания за обработването, които имат предимство.

3.

По използването на кодекс за поведение по смисъла на член 40 от ОРЗД, за да се предвидят срокове за контрол и изтриване, които надхвърлят предвидените за публичните регистри срокове за съхранение

97.

Запитващата юрисдикция иска също да се установи дали е в съответствие с правото на Съюза уреждането в кодекс за поведение по смисъла на член 40 от ОРЗД на срокове за контрол и изтриване, които надхвърлят предвидените за публичните регистри срокове за съхранение, без да е необходимо да се извършва предвиденото в член 6, параграф 1, първа алинея, буква е) от този регламент претегляне.

98.

В това отношение следва веднага да се отбележи, че според запитващата юрисдикция понастоящем не съществува национална правна уредба, която да определя сроковете за изтриване на поддържаните от агенциите за икономически справки бази данни. Изглежда обаче, че заинтересованите страни възприемат съвместно приетия от надзорните органи и сдружението на агенциите за икономически справки кодекс за поведение като вид „правно основание“, което може да обоснове описаната по-горе практика. Подобно схващане ми се струва спорно от правна гледна точка поради следните причини.

99.

От правна гледна точка такъв кодекс за поведение представлява само доброволен ангажимент на лицата, които са го изготвили и приели, тоест на посоченото сдружение и неговите членове. Също така фактът, че този кодекс за поведение е одобрен от надзорен орган, означава единствено, че той в качеството си на административен орган се счита за обвързан от посочения кодекс за поведение. Струва ми се обаче очевидно, че кодексът за поведение няма задължителна сила по отношение на трети лица в съответствие с правния принцип „pacta tertiis nec nocent nec prosunt“. В противен случай биха били засегнати не само физическите лица, чиито данни се обработват, но и дружествата, които не са участвали в изготвянето на такъв кодекс за поведение.

100.

По дефиниция кодексът за поведение няма нормативна сила в даден правен ред, а цели по-скоро да уточни разпоредбите на нормативен акт, за да улесни неговото прилагане. Това тълкуване се подкрепя от член 40, параграфи 1 и 2 от ОРЗД, от който следва, че кодексите за поведение, които трябва да се изготвят от сдруженията и другите структури, представляващи категории администратори или обработващи лични данни, имат за цел, от една страна, „да допринесат за правилното прилагане“, а от друга страна, „да бъде уточнено прилагането“ на този регламент (курсивът е мой). При това положение, доколкото функцията на разглеждания кодекс за поведение се свежда до гарантиране на правилното прилагане на ОРЗД в определена област, той не може сам по себе си да представлява правно основание за обработването на лични данни ( 48 ).

101.

Правното основание за такова обработване може да се намира само в член 6 от ОРЗД или, ако има приложима предпазна клауза — в националното законодателство. В настоящото заключение вече посочих, че член 6 от ОРЗД съдържа изчерпателен списък на случаите, в които обработването на лични данни може да се счита за законосъобразно ( 49 ). Следователно правилата на кодекса за поведение не могат да доведат до разширяване на този списък, без да нарушат в същото време правото на Съюза.

102.

Струва ми се обаче, че точно такъв е случаят, когато, както в настоящия случай, тези правила налагат на агенциите за икономически справки задължението да съхраняват данните за субектите на данни за срок от три години, т.е. за продължителен период от време, който не може да бъде обоснован с оглед на установените в ОРЗД принципи, уреждащи обработването на личните данни. По-конкретно, както посочих в рамките на анализа си, съхраняването на тези данни не може да се счита за законосъобразно въз основа на член 6, параграф 1, първа алинея, буква е) от ОРЗД за периода след изтриването на личните данни, свързани с несъстоятелност, от публичните регистри ( 50 ).

103.

Ето защо на този етап от анализа следва да се приеме, че кодекси за поведение, които биха довели до различен резултат от този, който би бил постигнат в приложение на член 6, параграф 1, първа алинея, буква е) от ОРЗД, не могат да бъдат взети предвид при претеглянето, извършено по силата на тази разпоредба. Като „администратор[и]“ по смисъла на член 4, точка 7 от ОРЗД, агенциите за икономически справки не могат да се позовават на правилата на кодекса за поведение, които самите те са изготвили, за да се освободят валидно от задълженията си, произтичащи от този регламент.

104.

С оглед на изложените по-горе съображения считам, че член 40, параграфи 2 и 5 от ОРЗД трябва да се тълкува в смисъл, че кодекси за поведение, изготвени в съответствие с тези разпоредби и евентуално одобрени от надзорния орган, не могат да установят по правнообвързващ начин условия за законосъобразно обработване на лични данни, които се различават от определените в член 6, параграф 1 от ОРЗД.

VI.

Заключение

105.

С оглед на гореизложените съображения предлагам на Съда да отговори на преюдициалните въпроси, отправени от Verwaltungsgericht Wiesbaden (Административен съд Висбаден, Германия), по следния начин: