I 

Johdanto

1.

Käsiteltävissä Verwaltungsgericht Wiesbadenin (Wiesbadenin hallintotuomioistuin, Saksa) SEUT 267 artiklan nojalla esittämissä ennakkoratkaisupyynnöissä on kyse siitä, miten on tulkittava Euroopan unionin perusoikeuskirjan (jäljempänä perusoikeuskirja) 7 ja 8 artiklaa sekä luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) ( 2 ) 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohtaa, 17 artiklan 1 kohdan d alakohtaa, 40 artiklaa, 77 artiklan 1 kohtaa ja 78 artiklan 1 kohtaa.

2.

Ennakkoratkaisupyynnöt on esitetty kahdessa riita-asiassa, joista ensimmäisen kantajana on UF (asia C‑26/22) ja toisen AB (asia C‑64/22) ja joista molemmissa vastaajana on Land Hessen (Hessenin osavaltio, Saksa), jota edustaa Hessischer Beauftragte für Datenschutz und Informationsfreiheit (Hessenin osavaltion tietosuojavaltuutettu ja tiedonvälityksen vapauden valtuutettu, jäljempänä HBDI), ja joissa on kyse UF:n ja AB:n HBDI:lle esittämistä hakemuksista ryhtyä toimenpiteisiin, jotta SCHUFA Holding AG (jäljempänä SCHUFA) poistaisi rekisteristään merkinnän, joka koskee maksamatta olevista veloista vapauttamista.

3.

Näissä kahdessa asiassa tulee esiin lukuisia uusia oikeudellisia kysymyksiä, jotka koskevat muun muassa valvontaviranomaisen kantelun perusteella tekemän päätöksen oikeudellista luonnetta ja sitä, kuinka laajasti tuomioistuin voi arvioida tällaisen päätöksen lainmukaisuutta, kun siihen on haettu muutosta. Käsiteltävissä asioissa on myös kyse siitä, onko julkisista rekistereistä kerättyjen henkilötietojen säilyttäminen luottotietopalveluja tarjoavien yhtiöiden tietokannoissa lainmukaista.

II 

Asiaa koskevat oikeussäännöt

A 

Unionin oikeus

1. 

Asetus (EU) 2015/848

4.

Maksukyvyttömyysmenettelyistä 20.5.2015 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2015/848 ( 3 ) 79 artiklan 4 ja 5 kohdassa säädetään seuraavaa:

2. 

Yleinen tietosuoja-asetus

5.

Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdassa säädetään seuraavaa:

6.

Kyseisen asetuksen 6 artiklan 1 kohdassa säädetään seuraavaa:

7.

Yleisen tietosuoja-asetuksen 17 artiklan 1 kohdassa säädetään seuraavaa:

8.

Kyseisen asetuksen 21 artiklan 1 kohdassa säädetään seuraavaa:

9.

Mainitun asetuksen 40 artiklassa säädetään seuraavaa:

10.

Yleisen tietosuoja-asetuksen 77 artiklan 1 kohdassa säädetään seuraavaa:

11.

Asetuksen 78 artiklassa säädetään seuraavaa:

B 

Saksan oikeus

12.

Maksukyvyttömyydestä annetun lain (Insolvenzordnung), sellaisena kuin se oli voimassa pääasioiden tosiseikkojen tapahtuma-aikaan, 9 §:n 1 momentissa säädetään seuraavaa:

13.

Internetissä julkaistavista maksukyvyttömyysmenettelyjä koskevista virallisista ilmoituksista annetun asetuksen (Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet) 3 §:n 1 ja 2 momentissa säädetään seuraavaa:

III 

Tosiseikat, pääasioiden oikeudenkäynnit ja ennakkoratkaisukysymykset

14.

UF:n ja AB:n maksukyvyttömyysmenettelyissä heidät vapautettiin ennenaikaisesti maksamatta olevista veloistaan tuomioistuimen päätöksillä, jotka annettiin UF:n osalta 17.12.2020 ja AB:n osalta 23.3.2021. Maksukyvyttömyydestä annetun lain 9 §:n 1 momentin ja internetissä julkaistavista maksukyvyttömyysmenettelyjä koskevista virallisista ilmoituksista annetun asetuksen 3 §:n 1 ja 2 momentin mukaisesti veloista vapauttamisesta julkaistiin internetissä virallinen ilmoitus, joka poistettiin kuuden kuukauden kuluttua.

15.

SCHUFA, joka on luottotietopalvelua tarjoava yksityinen yritys, merkitsee omiin tietokantoihinsa ennenaikaista veloista vapauttamista koskevat julkaistut tiedot, mutta se poistaa ne vasta kolmen vuoden kuluttua kunkin merkinnän tekemisestä.

16.

Kun UF ja AB pyysivät SCHUFAa poistamaan heitä koskevat merkinnät, SCHUFA ilmoitti heille, että sen toiminta on yleisen tietosuoja-asetuksen mukaista ja että siihen ei sovelleta internetissä julkaistavista maksukyvyttömyysmenettelyjä koskevista virallisista ilmoituksista annetun asetuksen 3 §:n 1 momentin mukaista tietojen poistamista koskevaa kuuden kuukauden määräaikaa. Tämän jälkeen sekä UF että AB tekivät kantelun HBDI:lle toimivaltaisena valvontaviranomaisena.

17.

HBDI antoi ratkaisun kanteluihin kahdella päätöksellä, jotka se teki UF:n osalta 1.3.2021 ja AB:n osalta 9.7.2021. HBDI:n mukaan SCHUFAlla on oikeus säilyttää epäedullisia veloista vapauttamista koskevia merkintöjä kauemmin kuin sen ajanjakson ajan, jota saatavasta vapauttaminen koskee.

18.

Sekä UF että AB ovat nostaneet kanteen HBDI:n päätöksestä ennakkoratkaisua pyytäneessä Verwaltungsgericht Wiesbadenissa. Tässä yhteydessä he väittävät, että HBDI:llä on tehtäviensä ja toimivaltuuksiensa nojalla velvollisuus ryhtyä toimenpiteisiin SCHUFAa vastaan, jotta SCHUFA poistaisi heitä koskevat rekisterimerkinnät.

19.

Tässä yhteydessä ennakkoratkaisua pyytänyt tuomioistuin katsoo, että asiassa on ensinnäkin selvennettävä valvontaviranomaisen yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan nojalla tehdyn kantelun perusteella tekemän päätöksen oikeudellista luonnetta. Kyseinen tuomioistuin toteaa, että HBDI:n mukaan mainitussa 77 artiklan 1 kohdassa säädetään lähinnä vetoomusluonteisesta oikeudesta tehdä kantelu. Näin ollen kyseiseen päätökseen kohdistuva tuomioistuinvalvonta on siten rajattua, että sen yhteydessä tutkitaan vain, että valvontaviranomainen on käsitellyt kantelun ja ilmoittanut kantelijalle kantelun etenemisestä tai sen ratkaisusta. Tuomioistuimen ei sitä vastoin pidä tutkia kantelun perusteella tehdyn päätöksen aineellista virheettömyyttä.

20.

Kyseinen tuomioistuin ei kuitenkaan ole varma siitä, vastaako sen tulkinta yleisessä tietosuoja-asetuksessa säädettyä. Ennakkoratkaisua pyytäneen tuomioistuimen mukaan asetuksen 78 artiklan 1 kohdassa nimittäin edellytetään mahdollisuutta käyttää tehokkaita oikeussuojakeinoja. Kun otetaan huomioon yleisen tietosuoja-asetuksen tavoite, jona on suojata luonnollisten henkilöiden perusoikeuksia ja ‑vapauksia tehokkaasti perusoikeuskirjan 7 ja 8 artiklan nojalla, sitä, miten kanteluoikeuden perusteella tehty kantelu on käsiteltävä, ei voida tulkita suppeasti. Ennakkoratkaisua pyytänyt tuomioistuin on siis taipuvainen tulkitsemaan, että tuomioistuimen on tutkittava valvontaviranomaisen asiasisältöä koskevan päätöksen koko sisältö ja otettava tässä yhteydessä kuitenkin huomioon se, että kyseisellä viranomaisella on sekä harkintavaltaa ja se voidaan velvoittaa toimimaan vain silloin, kun lainmukaisia vaihtoehtoja ei ole.

21.

Toiseksi ennakkoratkaisua pyytänyt tuomioistuin pohtii, onko julkisista rekistereistä kerättyjen tietojen säilyttäminen luottotietopalveluja tarjoavien yhtiöiden tietokannoissa lainmukaista. Tältä osin kyseinen tuomioistuin toteaa, että kyseiset yhtiöt hankkivat valtiolta kaikki julkisiin rekistereihin – tässä tapauksessa velallisten rekisteriin ja maksukyvyttömyysrekisteriin – merkityt tiedot. HBDI:n mukaan näitä tietoja käytetään luottokelpoisuuden arvioimiseen ja niitä voidaan säilyttää niin kauan kuin säilyttämisen tarkoitus sitä edellyttää. Muutenkin on niin, että koska kansallinen lainsäätäjä ei ole säätänyt asiasta, valvontaviranomaiset ovat hyväksyneet yhdessä luottotietopalveluja tarjoavia yhtiöitä edustavan yhdistyksen kanssa käytännesäännöt, joissa määrätään tietojen poistamisesta päivälleen kolme vuotta sen jälkeen, kun ne on merkitty yrityksen tiedostoon.

22.

Ennakkoratkaisua pyytänyt tuomioistuin toteaa, että kun otetaan huomioon perusoikeuskirjan 7 ja 8 artikla, esiin tulee kysymys siitä, voidaanko julkisiin rekistereihin tehdyt merkinnät siirtää sellaisinaan yksityisiin rekistereihin ilman konkreettista syytä tietojen säilyttämiseen yksityisessä luottotietopalvelussa. Viime kädessä tällainen tietojen siirtäminen johtaa tietojen säilyttämiseen kaiken varalta erityisesti silloin, kun tiedot on jo poistettu kansallisesta rekisteristä säilyttämisajan päättymisen vuoksi. Lisäksi SCHUFA on vain yksi luottotietopalvelua tarjoava yhtiö muiden joukossa, joten tietoja säilytetään Saksassa tällä tavoin useissa eri paikoissa, mikä merkitsee vakavaa puuttumista perusoikeuskirjan 7 artiklassa taattuun perusoikeuteen.

23.

Ennakkoratkaisua pyytänyt tuomioistuin lisää, että tietojen käsittely ja näin ollen säilyttäminen on sallittua vain, jos jokin yleisen tietosuoja-asetuksen 6 artiklan 1 kohdassa säädetyistä edellytyksistä täyttyy, ja tältä osin se toteaa, että käsiteltävässä asiassa kyseeseen tulee ainoastaan 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohta. On kyseenalaista, onko SCHUFAn kaltaisella rekisterinpitäjällä kyseisessä säännöksessä edellytettyä oikeutettua etua. Luottotietopalvelua tarjoava yhtiö voi joka tapauksessa aina, kun sillä on tällainen oikeutettu etu, pyytää tietoja julkisista rekistereistä ajanjaksolla, jolloin tiedot säilytetään rekisterissä.

24.

Lisäksi kyseisen tuomioistuimen mukaan Saksan lainsäätäjä on säätänyt internetissä julkaistavista maksukyvyttömyysmenettelyjä koskevista virallisista ilmoituksista annetun asetuksen 3 §:ssä veloista vapauttamisen osalta vain suhteellisen lyhyestä – kuuden kuukauden pituisesta – merkinnän säilytysajasta maksukyvyttömyysrekisterissä. Ennakkoratkaisua pyytäneen tuomioistuimen mukaan kyseinen säännös perustuu puolestaan asetuksen 2015/848 79 artiklan 5 kohtaan, jonka mukaan jäsenvaltioiden on ilmoitettava rekisteröidyille aika, jonka maksukyvyttömyysrekistereihin tallennetut henkilötiedot ovat saatavilla, jotta rekisteröidyt voisivat käyttää oikeuksiaan ja erityisesti oikeutta tietojen poistamiseen. Tätä oikeutta ei kuitenkaan enää ole, kun tiedot tallennetaan suureen määrään yksityisiä rekistereitä, joissa tietoja säilytetään kauemmin.

25.

Lisäksi on niin, että vaikka katsottaisiin, että julkisista rekistereistä kerättyjen tietojen säilyttäminen luottotietopalveluja tarjoavien yksityisten yritysten tietokannoissa on lainmukaista, voidaan kysyä, onko yleisen tietosuoja-asetuksen 40 artiklan mukaisesti hyväksytyt käytännesäännöt, joissa määrätään, että veloista vapauttamista koskeva merkintä poistetaan rekisteristä kolmen vuoden kuluttua, otettava huomioon, kun suoritetaan yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan nojalla tehtävän arvioinnin edellyttämä vertailu.

26.

Tässä tilanteessa Verwaltungsgericht Wiesbaden on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:

IV 

Asian käsittelyn vaiheet unionin tuomioistuimessa

27.

Asiassa C‑26/22 esitetty ennakkoratkaisupyyntö, joka on päivätty 23.12.2021, saapui unionin tuomioistuimen kirjaamoon 11.1.2022. Asiassa C‑64/22 esitetty ennakkoratkaisupyyntö, joka on päivätty 31.1.2022, saapui unionin tuomioistuimen kirjaamoon 2.2.2022.

28.

Unionin tuomioistuimen 11.2.2022 tekemällä päätöksellä asiat yhdistettiin kirjallista ja suullista käsittelyä sekä tuomion antamista varten.

29.

Pääasioiden asianosaiset, SCHUFA, Saksan ja Portugalin hallitukset sekä Euroopan komissio toimittivat kirjalliset huomautuksensa Euroopan unionin tuomioistuimen perussäännön 23 artiklan mukaisessa määräajassa.

30.

Pääasioiden asianosaisten edustajat, SCHUFA ja komission asiamiehet esittivät suullisia huomautuksia 26.1.2023 pidetyssä istunnossa.

V 

Oikeudellinen arviointi

A 

Alustavat huomautukset

31.

Koska markkinataloudessa kaikki sopimussitoumukset perustuvat keskinäiseen luottamukseen, yritysten näkökulmasta on lähtökohtaisesti ymmärrettävää, että palveluntarjoajat ja tavarantoimittajat haluavat tuntea asiakkaansa ja tiedostaa riskit, joita tällaisiin sopimussitoumuksiin liittyy. Luottotietopalveluja tarjoavat yhtiöt voivat auttaa keskinäisen luottamuksen syntymisessä tarjoamalla tilastollisia menetelmiä, joiden avulla yritykset voivat todeta, täyttyvätkö tietyt merkitykselliset kriteerit, mukaan lukien niiden asiakkaiden luottokelpoisuutta koskeva kriteeri, kussakin tapauksessa. Tällä tavalla ne auttavat yrityksiä noudattamaan unionin oikeuden eri säännöksiä, joissa niille asetetaan juuri tällainen velvollisuus tiettyjen sopimusryhmien, ja erityisesti luottosopimusten, osalta. ( 4 ) Tällaiset yhtiöt eivät kuitenkaan ole ainoita, jotka tarjoavat tällaisia palveluja. Tietoisena tarpeesta huolehtia siitä, että rahoitusliiketoimet ovat tietynasteisesti avoimia ja ennakoitavia, unionin lainsäätäjä on edellyttänyt, että jäsenvaltiot perustavat yhden tai useamman rekisterin, joissa julkaistaan tietoja maksukyvyttömyysmenettelyistä, ja ylläpitävät niitä.

32.

Tästä seuraa, että on olemassa useita rinnakkaisia tietokantoja, eli yhtäältä viranomaisten viralliset rekisterit ja toisaalta yksityisten yritysten tietokannat. Tämä rinnakkaisuus voi johtaa kilpailuun järjestelmien välillä ja aiheuttaa jopa oikeudellisia ristiriitoja, jos näihin rekistereihin sovellettavat oikeussäännöt ovat selvästi erilaisia. Erot lainsäädännössä voivat osoittautua erityisen ongelmallisiksi, jos ne vaikuttavat tietosuojaan, sillä riippumatta siitä, hallinnoiko rekisteriä julkinen vai yksityinen elin, rekisterin tietojen hallinnoinnissa ja rekisteröinnissä on kunnioitettava rekisteröityjen etuja. Koska henkilön taloudellista tilannetta koskevat tiedot ovat tyypillisesti arkaluonteisia henkilötietojen suojaa koskevan oikeuden ja yksityisyyden suojan kunnioittamisen kannalta, tällaisten tietojen osalta onkin noudatettava erityistä valppautta.

33.

Yleisellä tietosuoja-asetuksella, jota on sovellettu 25.5.2018 alkaen, on otettu käyttöön oikeudellinen säännöstö, jossa pyritään ottamaan huomioon edellä mainitut intressit koko unionin alueella muun muassa säätämällä tietyistä edellytyksistä, joita sovelletaan henkilötietojen käsittelyyn. Siten yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdassa edellytetään, että käsittely on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, paitsi milloin henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja ‑vapaudet syrjäyttävät tällaiset edut. Toisin sanoen käsittelyn lainmukaisuuden on perustuttava siihen, että on punnittu asiaan liittyviä eri intressejä ja todettu, että rekisterinpitäjän tai kolmannen osapuolen oikeutetut edut ovat painavampia kuin rekisteröidyn intressit. Valvontaviranomaisen, jonka on yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan nojalla käsiteltävä rekisteröityjen mahdolliset kantelut, joiden mukaan heidän perusoikeuksiaan on loukattu, on tarkistettava, täyttyvätkö nämä edellytykset. Jos rekisteröity päättää hakea muutosta valvontaviranomaisen päätökseen yleisen tietosuoja-asetuksen 78 artiklan 1 kohdan mukaisesti, kansallisten tuomioistuinten on huolehdittava tehokkaasta laillisuusvalvonnasta.

34.

Tämän ratkaisuehdotuksen edellisissä kohdissa esitetään lyhyt yhteenveto eri oikeudellisista seikoista, jotka ennakkoratkaisua pyytänyt tuomioistuin on tuonut esiin ennakkoratkaisupyynnöissään. Ensimmäinen ennakkoratkaisukysymys koskee valvontaviranomaisen kantelun perusteella tekemän päätöksen oikeudellista luonnetta ja sitä, kuinka laajasti tuomioistuin voi valvoa tällaisen päätöksen lainmukaisuutta, kun siihen on haettu muutosta. Toinen, kolmas, neljäs ja viides kysymys koskevat lähinnä sitä, onko julkisista rekistereistä kerättyjen henkilötietojen säilyttäminen luottotietopalveluja tarjoavien yhtiöiden tietokannoissa lainmukaista. Käsittelen jäljempänä ennakkoratkaisukysymyksiä siinä järjestyksessä, jossa ennakkoratkaisua pyytänyt tuomioistuin on ne esittänyt.

B 

Ensimmäinen ennakkoratkaisukysymys

35.

Koska ensimmäinen kysymys koskee hallinnollisen oikeussuojakeinon kahta vaihetta eli yleisen tietosuoja-asetuksen 77 artiklassa tarkoitettua kantelua valvontaviranomaiselle ja saman asetuksen 78 artiklassa tarkoitettua oikeussuojakeinoa tuomioistuimessa, mielestäni on syytä kuvata lyhyesti näitä kahta vaihetta ja käsitellä tässä yhteydessä oikeudellisia seikkoja, joita ennakkoratkaisua pyytäneen tuomioistuimen kysymys koskee.

36.

Kuten alustavissa huomautuksissani totesin, yleisen tietosuoja-asetuksen tarkoituksena on luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä; henkilötietojen suoja perusoikeutena on vahvistettu perusoikeuskirjan 8 artiklan 1 kohdassa ja SEUT 16 artiklan 1 kohdassa. Koska henkilötietojen käsittely voi aina vaikuttaa yksityisyyteen, on mainittava myös perusoikeuskirjan 7 artiklan mukainen suoja. ( 5 ) Lisäksi yleisen tietosuoja-asetuksen 1 artiklan 2 kohdasta, luettuna yhdessä kyseisen asetuksen johdanto-osan 10, 11 ja 13 perustelukappaleen kanssa, ilmenee, että unionin lainsäätäjä on antanut näiden oikeuksien suojaamista koskevan tehtävän unionin elimille ja laitoksille mutta myös jäsenvaltioiden toimivaltaisille viranomaisille, mukaan lukien valvontaviranomaisille ja kansallisille tuomioistuimille. ( 6 )

1. 

Valvontaviranomaisten tehtävät, mukaan lukien velvollisuus tutkia kantelut

37.

Tältä osin on todettava, että perusoikeuskirjan 8 artiklan 3 kohdassa määrätään, että riippumaton viranomainen valvoo henkilötietojen suojaa koskevien sääntöjen noudattamista. Yleisen tietosuoja-asetuksen 57 artiklan 1 kohdan a alakohdassa pannaan täytäntöön tämä primaarioikeudesta johtuva velvollisuus, sillä siinä säädetään, että jokaisen valvontaviranomaisen tehtävänä on valvoa tämän asetuksen soveltamista ja täytäntöönpanoa. Kuten yleisen tietosuoja-asetuksen 57 artiklan 1 kohdan f alakohdasta nimenomaisesti ilmenee, valvontaviranomaisen vastuulla on rekisteröityjen tekemien kantelujen käsittely.

38.

Unionin tuomioistuin on katsonut, että kyseisen säännöksen nojalla ”jokaisen valvontaviranomaisen on alueellaan käsiteltävä [kantelut], joita tämän asetuksen 77 artiklan 1 kohdan mukaan jokaisella rekisteröidyllä on oikeus tehdä, jos hän katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan tätä asetusta, ja tutkittava siinä määrin kuin se on asianmukaista [kantelun] kohdetta”. ( 7 ) Tässä yhteydessä on syytä kiinnittää huomiota siihen, että unionin tuomioistuin on korostanut, että valvontaviranomaisen velvollisuutena ”on tutkia tällainen [kantelu] kaikkea asianmukaista huolellisuutta noudattaen” sen varmistamiseksi, että yleisen tietosuoja-asetuksen säännöksiä noudatetaan. Samoin on huomattava, että yleisen tietosuoja-asetuksen johdanto-osan 141 perustelukappaleessa todetaan, että kantelu ”olisi tutkittava siinä määrin kuin kussakin tapauksessa on asianmukaista” (kursivointi tässä).

39.

Kaikkien näiden seikkojen perusteella olen sitä mieltä, että valvontaviranomaisella on pakottava velvollisuus käsitellä rekisteröityjen tekemät kantelut niin huolellisesti kuin kussakin tapauksessa on asianmukaista. ( 8 ) Koska yleisen tietosuoja-asetuksen rikkominen voi lähtökohtaisesti aina merkitä perusoikeuksien loukkaamista, se, että valvontaviranomaiselle annettaisiin harkintavaltaa sen suhteen, käsitteleekö se kantelua vai ei, näyttää minusta olevan ristiriidassa kyseisellä asetuksella käyttöön otetun järjestelmän kanssa. Tällaisella lähestymistavalla kyseenalaistettaisiin yleisessä tietosuoja-asetuksessa valvontaviranomaiselle annettu keskeinen tehtävä, jona on huolehtia siitä, että henkilötietojen suojaa koskevia sääntöjä noudatetaan, ja se olisi näin ollen vastoin unionin lainsäätäjän tavoitteita. ( 9 ) Loppujen lopuksi ei pidä unohtaa, että valvontaviranomaisen näkökulmasta kantelut ovat tärkeä tiedonlähde, jonka avulla se voi havaita rikkomiset. ( 10 )

40.

Tämä tulkinta on sitäkin vakuuttavampi, kun otetaan huomioon, että yleisen tietosuoja-asetuksen 57 artiklan 1 kohdan f alakohdan nojalla valvontaviranomaiseen sovelletaan useita vaatimuksia, kun se käsittelee kanteluita, nimittäin velvollisuutta tutkia siinä määrin kuin se on asianmukaista kantelun kohdetta ja velvollisuutta ilmoittaa kantelun tekijälle tutkinnan etenemisestä sekä tutkinnan tuloksista kohtuullisen ajan kuluessa, erityisesti jos asia edellyttää lisätutkimuksia tai koordinointia toisen valvontaviranomaisen kanssa. Lisäksi valvontaviranomaisella on yleisen tietosuoja-asetuksen 77 artiklan 2 kohdan nojalla velvollisuus ilmoittaa kantelun tekijälle sen etenemisestä ja ratkaisusta, mukaan lukien 78 artiklan mukaisten oikeussuojakeinojen mahdollisuudesta. Kaikilla mainituilla vaatimuksilla, jotka ovat osa hyvän hallinnon käsitettä, joka on saanut ilmaisunsa perusoikeuskirjan 41 artiklassa erityisesti unionin toimielinten ja elinten toiminnan osalta, ( 11 ) pyritään vahvistamaan kantelumenettelyä, jotta se olisi todellinen hallinnollinen oikeussuojakeino.

41.

Vaikka valvontaviranomaisella on yleisen tietosuoja-asetuksen säännösten noudattamisen takaajana velvollisuus käsitellä sille tehdyt kantelut, useat seikat puoltavat tulkintaa, jonka mukaan sillä on harkintavaltaa, kun se tutkii tällaisia kanteluita, ja tiettyä liikkumavaraa, kun se valitsee tehtäviensä suorittamiseksi asianmukaiset keinot. Julkisasiamies Saugmandsgaard Øe on nimittäin todennut, että yleisen tietosuoja-asetuksen 58 artiklan 1 kohdassa ”valvontaviranomaisille annetaan – – merkittävät tutkintavaltuudet” ja että kullakin valvontaviranomaisella on kyseisen asetuksen 58 artiklan 2 kohdan nojalla ”laaja valikoima keinoja – – sille annetun tehtävän täyttämiseksi”, missä yhteydessä julkisasiamies on viitannut tässä säännöksessä lueteltuihin korjaaviin toimivaltuuksiin. ( 12 ) Tämän jälkeen julkisasiamies on todennut, että vaikka ”toimivaltaisen valvontaviranomaisen – – on suoritettava täysimääräisesti sille annettu valvontatehtävä”, ”tehokkaimman keinon valinta kuuluu [sen] harkintavaltaan – – kaikki [asiaan liittyvät] olosuhteet huomioon ottaen”. ( 13 ) Olen täysin samaa mieltä asiasta.

42.

Valvontaviranomaisille annettujen korjaavien toimenpiteiden toteuttamista koskevien toimivaltuuksien yksityiskohtaisesta kuvauksesta ilmenee selvästi, että unionin lainsäätäjän tarkoituksena ei ole ollut tehdä kantelumenettelystä vetoomusmenettelyn luonteista. Lainsäädännöllisenä tavoitteena näyttää päinvastoin olleen säätää mekanismista, jolla voidaan tehokkaasti turvata kantelun tekijöiden oikeudet ja intressit. Minusta on selvää, ettei tätä liikkumavaraa kuitenkaan voida tulkita siten, että valvontaviranomaiselle olisi annettu rajaton toimivalta, jonka nojalla se voisi toimia mielivaltaisesti. Valvontaviranomaisen on päinvastoin käytettävä liikkumavaraansa unionin oikeudessa sille asetetuissa rajoissa. Tästä syystä ei myöskään voida sulkea pois sitä mahdollisuutta, että valvontaviranomainen voi hallintoelimenä joutua toteuttamaan nimenomaan tietyn toimenpiteen käsiteltävän asian erityisten olosuhteiden vuoksi, esimerkiksi silloin, kun on vakava vaara rekisteröidyn perusoikeuksien loukkaamisesta.

43.

Tätä tulkintaa, jonka mukaan valvontaviranomaisella on tiettyä liikkumavaraa käyttämiensä keinojen valinnassa, tukee yleisen tietosuoja-asetuksen 58 artiklan 4 kohdassa säädetty, kun sen mukaan ”valvontaviranomaiselle tämän artiklan nojalla annettujen valtuuksien käyttöön sovelletaan asianmukaisia suojatoimia, muun muassa tehokkaita oikeussuojakeinoja” (kursivointi tässä) perusoikeuskirjan 47 artiklan mukaisesti. Lisäksi yleisen tietosuoja-asetuksen 78 artiklan 1 ja 2 kohdan mukaan jokaisella luonnollisella henkilöllä tai oikeushenkilöllä on oikeus tehokkaisiin oikeussuojakeinoihin itseään koskevaa valvontaviranomaisen oikeudellisesti sitovaa päätöstä vastaan samoin kuin tilanteessa, jossa valvontaviranomainen laiminlyö kantelun käsittelemisen.

44.

Näin ollen seuraavaksi on syytä käsitellä ennakkoratkaisua pyytäneen tuomioistuimen ennakkoratkaisupyynnöissään esittämää kysymystä, joka koskee valvontaviranomaisen tekemän päätöksen oikeudellista luonnetta. Tältä osin on viitattava yleisen tietosuoja-asetuksen johdanto-osan 141 perustelukappaleeseen, jossa todetaan, että jokaisella ”rekisteröidyllä olisi oltava oikeus tehdä kantelu – – valvontaviranomaiselle – – sekä oikeus soveltaa tehokkaita oikeussuojakeinoja perusoikeuskirjan 47 artiklan mukaisesti, jos rekisteröity katsoo, että hänen tähän asetukseen perustuvia oikeuksiaan on loukattu tai jos valvontaviranomainen ei käsittele kantelua, hylkää sen kokonaan tai osittain tai ei ryhdy toimiin, jotka ovat tarpeen rekisteröidyn oikeuksien suojaamiseksi” (kursivointi tässä). Tässä perustelukappaleessa on otettu huomioon se, että valvontaviranomaisen päätös voi olla rekisteröidyn intressien vastainen, erityisesti jos valvontaviranomainen katsoo, että kantelu ei ole perusteltu ja että yleistä tietosuoja-asetusta ei ole rikottu, eikä siis ryhdy toimenpiteisiin sen tilanteen korjaamiseksi, jonka perusteella kantelu on tehty. Unionin lainsäätäjä on todennut, että tällainen päätös on oikeudellisesti sitova, ja näin ollen se on säätänyt kantelun tekijän mahdollisuudesta oikeussuojakeinoihin kansallisessa tuomioistuimessa.

45.

Samoin on todettava, ettei valvontaviranomainen voi olla reagoimatta, koska yleisen tietosuoja-asetuksen 78 artiklan 2 kohdasta ilmenee, että jokaisella ”rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin, jos 55 ja 56 artiklan nojalla toimivaltainen valvontaviranomainen ei ole käsitellyt kantelua tai ilmoittanut rekisteröidylle kolmen kuukauden kuluessa 77 artiklan nojalla tehdyn kantelun etenemisestä tai ratkaisusta”. Tästä syystä kantelumenettelyä ei voida pitää vetoomusmenettelyn luonteisena.

46.

Kuten ennakkoratkaisua pyytänyt tuomioistuin on ennakkoratkaisupyynnöissään todennut, käsiteltävässä asiassa valvontaviranomainen on tehnyt pääasioiden kantajia koskevia oikeudellisesti sitovia päätöksiä. Valvontaviranomainen on lähinnä todennut, että se, miten SCHUFA käsitteli kantajien henkilötietoja, oli lainmukaista yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan b ja f alakohdan nojalla, ja se on tällä perusteella hylännyt implisiittisesti vaatimuksen siitä, että se toteuttaisi tutkintatoimenpiteen tai korjaavan toimenpiteen.

2. 

Kysymys siitä, kuinka laajaa valvontaviranomaisen tekemiin päätöksiin kohdistuvan tuomioistuinvalvonnan on oltava

47.

Yleisen tietosuoja-asetuksen 78 artiklassa tarkoitettu oikeussuojakeino tuomioistuimessa on kyseisen asetuksen mukaisen hallinnollisen oikeussuojakeinon toinen vaihe. Tässä yhteydessä on todettava, että sekä valvontaviranomaiselle tehtävästä kantelusta että oikeussuojakeinosta tuomioistuimessa on säädetty rekisteröidyn oikeuksina, mikä on täysin ymmärrettävää, jos lähdetään siitä ajatuksesta, että yleisen tietosuoja-asetuksen 77–79 artiklassa säädetyllä on tarkoitus panna täytäntöön perusoikeuskirjan 47 artiklassa vahvistettu oikeus tehokkaisiin oikeussuojakeinoihin. Kuten olen edellä todennut, ( 14 ) kun yleisen tietosuoja-asetuksen 58 artiklan 4 kohtaa luetaan yhdessä sen 78 artiklan kanssa ja asetuksen johdanto-osan 141 perustelukappaleen valossa, tämä tavoite on selvästi havaittavissa. ( 15 )

48.

Valvontaviranomaisen päätöksiin kohdistuvan tuomioistuinvalvonnan laajuudesta on muistutettava, että yleensä menettelyyn sovelletaan jäsenvaltioiden menettelyllisen itsemääräämisoikeuden nojalla kansallisesti sovellettavia hallinnollisen menettelyn sääntöjä, kunhan ne ovat vastaavuus- ja tehokkuusperiaatteen mukaisia. ( 16 ) Katson kuitenkin, että oikeussuojakeinoa voidaan pitää perusoikeuskirjan 47 artiklassa ja yleisen tietosuoja-asetuksen 78 artiklan 1 kohdassa tarkoitettuna tehokkaana oikeussuojakeinona vain, jos toimivaltaisella kansallisella tuomioistuimella on toimivalta ja velvollisuus arvioida kattavasti valvontaviranomaisen asiasisältöä koskevan päätöksen lainmukaisuutta tarkoituksenaan varmistaa, että valvontaviranomainen on soveltanut yleistä tietosuoja-asetusta asianmukaisesti.

49.

Kuten unionin tuomioistuin on jo muistuttanut oikeuskäytännössään, ”säännöstö, jossa yksityisille ei anneta mitään mahdollisuutta käyttää oikeussuojakeinoja, jotta he saisivat tutustua henkilötietoihinsa tai voisivat saada tällaiset tiedot oikaistuiksi tai poistetuiksi, ei ole tehokasta oikeussuojaa koskevan perusoikeuden, sellaisena kuin se vahvistetaan perusoikeuskirjan 47 artiklassa, keskeisen sisällön mukainen. Perusoikeuskirjan 47 artiklan ensimmäisessä kohdassa nimittäin edellytetään, että jokaisella, jonka unionin oikeudessa taattuja oikeuksia ja vapauksia on loukattu, on oltava tässä artiklassa määrättyjen edellytysten mukaisesti käytettävissään tehokkaat oikeussuojakeinot tuomioistuimessa. Tässä yhteydessä on huomattava, että unionin oikeuden määräysten ja säännösten noudattamisen varmistamiseen tarkoitetun tehokkaan tuomioistuinvalvonnan itse olemassaolo kuuluu erottamattomana osana oikeusvaltioon”. ( 17 )

50.

Valvontaviranomaisen päätöksiin kohdistuvan tuomioistuinvalvonnan laajuuden määrittämiseksi minusta on syytä viitata ensinnäkin yleisen tietosuoja-asetuksen johdanto-osan 141 perustelukappaleeseen, jonka mukaan kantelu ”olisi tutkittava siinä määrin kuin kussakin tapauksessa on asianmukaista, ja ratkaisu olisi voitava saattaa tuomioistuimen käsiteltäväksi” (kursivointi tässä). Tämän jälkeen on syytä viitata yleisen tietosuoja-asetuksen johdanto-osan 143 perustelukappaleeseen, jonka mukaan ”jokaisella luonnollisella henkilöllä tai oikeushenkilöllä olisi oltava oikeus tehokkaisiin oikeussuojakeinoihin toimivaltaisessa kansallisessa tuomioistuimessa sellaista valvontaviranomaisen päätöstä vastaan, joka tuottaa kyseistä henkilöä koskevia oikeusvaikutuksia – – Tällaiset päätökset koskevat etenkin valvontaviranomaisen tutkintavaltuuksien, korjaavien valtuuksien ja hyväksymisvaltuuksien käyttöä tai [kantelujen] käsittelemättä jättämistä tai hylkäämistä” (kursivointi tässä). Mielestäni näitä kohtia on tulkittava siten, että yleisen tietosuoja-asetuksen 78 artiklan nojalla kansallisen tuomioistuimen harjoittaman tuomioistuinvalvonnan on oltava kattavaa, eli sen on koskettava kaikkia merkityksellisiä seikkoja, jotka kuuluvat harkintavaltaan, jota valvontaviranomainen on käyttänyt tutkiessaan kantelun kohteen, samoin kuin kaikkia merkityksellisiä seikkoja, jotka kuuluvat kyseisen viranomaisen harkintavaltaan tutkintatoimenpiteiden ja korjaavien toimenpiteiden valinnassa.

51.

Se, että unionin lainsäätäjän tavoitteena on ollut varmistaa, että tuomioistuinvalvonta, joka koskee sellaisia valvontaviranomaisen päätöksiä, joilla on oikeusvaikutuksia sille kantelun tehneeseen rekisteröityyn, on kattavaa, on erityisen ilmeistä, kun otetaan huomioon yleisen tietosuoja-asetuksen johdanto-osan 143 perustelukappaleen kohta, jossa todetaan, että kanne ”valvontaviranomaista vastaan olisi nostettava sen jäsenvaltion tuomioistuimissa, johon valvontaviranomainen on sijoittautunut, ja se olisi toteutettava kyseisen jäsenvaltion prosessioikeuden mukaisesti. Kyseisten tuomioistuinten olisi käytettävä täyttä oikeudellista toimivaltaa, mukaan lukien toimivalta tarkastella kaikkia tosiseikkoja koskevia ja oikeudellisia kysymyksiä, jotka ovat niiden käsiteltäväksi saatetun asian kannalta merkittäviä” (kursivointi tässä). ( 18 ) Katson, että ainoastaan näin laaja tuomioistuinvalvonta vastaa perusoikeuskirjan 47 artiklan mukaisia vaatimuksia. ( 19 )

52.

En sen sijaan pidä vakuuttavina SCHUFAn ja HBDI:n väitteitä, joiden mukaan valvontaviranomaisten päätöksiin kohdistuva tuomioistuinvalvonta on rajoitettua. Ensinnäkin yleisen tietosuoja-asetuksen 52 artiklassa säädetyn valvontaviranomaisen riippumattomuuden – jossa perusoikeuskirjan 8 artiklan 3 kohdassa määrätty vaatimus konkretisoituu – tarkoituksena on suojata valvontaviranomaista aiheettomalta puuttumiselta sen toimintaan, mutta kyseisessä säännöksessä ei vapauteta valvontaviranomaista velvollisuudestaan hoitaa tehtävänsä ja käyttää toimivaltuuksiaan täysin unionin oikeuden mukaisesti ja siten, että sen päätöksiin kohdistuu tehokas tuomioistuinvalvonta, kuten on tilanne kaikkien muidenkin kansallisten viranomaisten osalta. Toiseksi se, että yleisen tietosuoja-asetuksen 79 artiklassa säädetään oikeudesta tehokkaisiin oikeussuojakeinoihin rekisterinpitäjää vastaan, ei sulje pois kyseisen asetuksen 78 artiklan mukaista oikeutta oikeussuojakeinoihin valvontaviranomaisen tekemän päätöksen osalta. Näistä oikeussuojakeinoista on säädetty rinnakkain ja itsenäisesti ilman, että jokin näistä olisi ensisijainen suhteessa toiseen, joten niitä voidaan käyttää rinnakkain. ( 20 ) Kantajien ei siis voida väittää pyrkineen puolustamaan yleisen tietosuoja-asetuksen mukaisia oikeuksiaan kielletyllä tavalla, kun he ovat päättäneet käyttää tiettyä oikeussuojakeinoa toisen sijasta. Nämä väitteet on siis hylättävä.

53.

Edellä esitetyn perusteella ensimmäiseen ennakkoratkaisukysymykseen on vastattava, että yleisen tietosuoja-asetuksen 78 artiklan 1 kohtaa on tulkittava siten, että sen nojalla valvontaviranomaisen oikeudellisesti sitovaan päätökseen voidaan kohdistaa kattava tuomioistuinvalvonta asiakysymyksen osalta.

C 

Toinen, kolmas, neljäs ja viides ennakkoratkaisukysymys

54.

Toinen, kolmas, neljäs ja viides ennakkoratkaisukysymys koskevat lähinnä sitä, onko julkisista rekistereistä kerättyjen henkilötietojen säilyttäminen luottotietopalveluja tarjoavien yhtiöiden tietokannoissa lainmukaista. Ennakkoratkaisua pyytäneen tuomioistuimen kysymysten yhteydessä tulee esiin useita oikeudellisia kysymyksiä, jotka liittyvät tähän käytäntöön ja joita on syytä tarkastella jäsennellysti. Selkeyden nimissä ryhmittelen kysymykset aiheittain ja käsittelen niitä tässä järjestyksessä.

55.

Voidakseen antaa ennakkoratkaisua pyytäneelle tuomioistuimelle hyödyllisen vastauksen, jonka perusteella se voi ratkaista siinä vireillä olevan asian, unionin tuomioistuimen on tulkittava useita yleisen tietosuoja-asetuksen säännöksiä, jotka vaikuttavat merkityksellisiltä vaikka niitä ei ole nimenomaisesti mainittu ennakkoratkaisukysymyksissä. Tällainen lähestymistapa on mahdollinen, koska vakiintuneen oikeuskäytännön mukaan unionin tuomioistuin voi poimia kaikista ennakkoratkaisua pyytäneen tuomioistuimen esittämistä seikoista ja erityisesti ennakkoratkaisupyynnön perusteluista ne unionin oikeuden oikeussäännöt ja periaatteet, joita on syytä tulkita, kun otetaan huomioon pääasian riidan kohde. ( 21 )

56.

Tällainen perusteellinen arviointi on mielestäni välttämätön varsinkin, koska ennakkoratkaisua pyytänyt tuomioistuin viittaa kysymyksissään osin ainoastaan perusoikeuskirjan 7 tai 8 artiklaan, vaikka – kuten unionin tuomioistuin on todennut – näitä määräyksiä ei sovelleta erikseen vaan ne on otettava huomioon yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdassa edellytetyn vertailun yhteydessä. ( 22 ) Tässä yhteydessä on lisäksi muistutettava, että siltä osin kuin kyseiset perusoikeudet pannaan täytäntöön yleisen tietosuoja-asetuksen säännöksillä, johdetun oikeuden tulkinta on loogisesti lähtökohtana asian oikeudellisessa arvioinnissa, ja johdettua oikeutta on luettava primaarioikeuden valossa, jonka erottamaton osa perusoikeuskirja on. ( 23 ) Otan siis jäljempänä esittämässäni analyysissa huomioon kaikki mielestäni merkitykselliset säännökset.

1. 

Kysymys siitä, soveltuuko luottotietopalveluja tarjoavien yhtiöiden käytäntö yhteen yleisessä tietosuoja-asetuksessa vahvistettujen henkilötietojen käsittelyä koskevien periaatteiden kanssa

57.

Yleisen tietosuoja-asetuksen II luvussa, jonka otsikko on ”Periaatteet”, vahvistetaan henkilötietojen käsittelyä koskevat periaatteet. Tutkin jäljempänä, soveltuuko luottotietopalveluja tarjoavien yhtiöiden käytäntö säilyttää julkisista rekistereistä kerättyjä henkilötietoja kolmen vuoden ajan yhteen niiden periaatteiden kanssa, joita pidän käsiteltävässä asiayhteydessä kaikkein merkityksellisimpinä, eli lainmukaisuuden, käyttötarkoitussidonnaisuuden ja tietojen minimoinnin periaatteiden kanssa.

58.

Perustan analyysini ennakkoratkaisua pyytäneen tuomioistuimen ja SCHUFAn toimittamiin tietoihin, ja muistutan samalla, että yleisen tietosuoja-asetuksen 5 artiklan 2 kohdassa säädetyn osoitusvelvollisuuden mukaisesti SCHUFAlla on rekisterinpitäjänä velvollisuus osoittaa, että edellä mainittuja periaatteita on noudatettu.

a) 

Kysymys siitä, soveltuuko käytäntö yhteen lainmukaisuuden periaatteen kanssa (yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohta)

59.

Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdassa säädetään, että henkilötietoja on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi. Yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan mukaan henkilötietojen käsittely on lainmukaista ainoastaan, jos vähintään yksi kyseisessä säännöksessä säädetyistä edellytyksistä täyttyy. Kuten unionin tuomioistuin on katsonut, säännöksessä vahvistetaan tyhjentävä luettelo tilanteista, joissa henkilötietojen käsittelyn voidaan katsoa olevan laillista. ( 24 ) Ennakkoratkaisua pyytänyt tuomioistuin pohtii lähinnä, voiko luottotietopalvelua tarjoava yhtiö säilyttää julkisista rekistereistä kerättyjä henkilötietoja voidakseen välittää kyseiset tiedot asiakkaalle siinä tapauksessa, että niitä pyydetään, yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan nojalla.

60.

Unionin tuomioistuimen oikeuskäytännön mukaan ( 25 ) yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdassa säädetään kolmesta kumulatiivisesta edellytyksestä henkilötietojen käsittelyn lainmukaisuudelle, eli siinä edellytetään ensinnäkin, että käsittely tapahtuu rekisterinpitäjän tai sellaisen kolmannen osapuolen, jolle tiedot välitetään, oikeutetun edun toteuttamiseksi, toiseksi, että henkilötietojen käsittely on tarpeen oikeutetun edun toteuttamiseksi, ja kolmanneksi, että henkilön, jota tietosuoja koskee, edut tai perusoikeudet ja ‑vapaudet eivät syrjäytä tätä etua. Vaikka on ennakkoratkaisua pyytäneen tuomioistuimen tehtävänä arvioida, täyttyvätkö nämä edellytykset, unionin tuomioistuimen on kuitenkin ohjattava sitä tässä arvioinnissa selventämällä asiassa esiin tulleita oikeudellisia kysymyksiä.

1) 

Kysymys oikeutetusta edusta

61.

Siitä, tapahtuuko käsittely oikeutetun edun toteuttamiseksi, muistutan aluksi, että yleisessä tietosuoja-asetuksessa ja oikeuskäytännössä on pidetty oikeutettuina etuina hyvin monenlaisia intressejä, ( 26 ) mutta totean samalla, että yleisen tietosuoja-asetuksen 13 artiklan 1 kohdan d alakohdan mukaan rekisterinpitäjän on ilmoitettava rekisteröidylle käsittelyyn liittyvät oikeutetut edut, jos käsittely perustuu 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohtaan.

62.

SCHUFA väittää, että kyseinen henkilötietojen käsittely tapahtuu erittäin merkittävien oikeutettujen etujen toteuttamiseksi. Tarkemmin ottaen SCHUFAn mukaan luottotietopalveluja tarjoavat yhtiöt käsittelevät tietoja, jotka ovat tarpeen yksityishenkilöiden ja yritysten luottokelpoisuuden arvioimiseksi, jotta ne voivat toimittaa nämä tiedot sopimuskumppaneilleen. Tällä suojataan myös niiden yritysten taloudellisia intressejä, jotka haluavat tehdä luottoihin liittyviä sopimuksia. Lisäksi luottokelpoisuuden määrittäminen ja luottokelpoisuutta koskevien tietojen toimittaminen ovat luotonantamisen ja talouden toimintakyvyn perusta. Luottorekisterejä ylläpitävien yhtiöiden toiminta auttaa myös niiden henkilöiden kaupallisten suunnitelmien konkreettisessa määrittelyssä, jotka ovat kiinnostuneita luottoihin liittyvistä liiketoimista, sillä kyseisten tietojen perusteella luottokelpoisuutta voidaan arvioida nopeasti ja ilman byrokratiaa.

63.

Katson, että lähtökohtaisesti ei ole olemassa objektiivista syytä epäillä sitä, että oikeutettuna etuna voidaan pitää SCHUFAn intressiä tarjota asiakkailleen edellä kuvattu kaupallinen palvelu ja SCHUFAn asiakkaiden intressiä käyttää SCHUFAn palveluja tarkoituksessa arvioida potentiaalisten kauppakumppaneidensa luottokelpoisuutta edellä tarkoitetulla tavalla. Vaikka on totta, että tämäntyyppisellä palvelulla tavoitellaan tuloja ja että sitä on siis pidettävä yksityisen yrityksen liiketoimintamallina, pelkästään tämän seikan perusteella ei voida kyseenalaistaa sitä, että ensimmäinen yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdassa tarkoitettu edellytys täyttyy käsiteltävässä asiassa.

64.

Näin on varsinkin, koska kyseisen palvelun tavoite on lähes sama kuin se, johon unionin lainsäätäjä on pyrkinyt, kun se on säätänyt asetuksen 2015/848 24 artiklan, jonka mukaan jäsenvaltioiden on perustettava alueelleen yksi tai useampi rekisteri, jossa julkaistaan tietoja maksukyvyttömyysmenettelyistä, ja pidettävä niitä yllä. Kuten mainitun asetuksen johdanto-osan 76 perustelukappaleessa todetaan, kyseisten julkisten rekisterien tarkoituksena on ”asianomaisten velkojien ja tuomioistuinten tiedonsaannin” parantaminen ”ja rinnakkaisten maksukyvyttömyysmenettelyjen aloittamisen” estäminen. Minusta näyttää siltä, että SCHUFAn palvelulla ei ole toisenlaista tarkoitusta. Tarkastelen jäljempänä kysymystä siitä, voiko tämä järjestelmien rinnakkaisuus aiheuttaa oikeudellisia ristiriitoja. Tässä analyysin vaiheessa on riittävää todeta, että koska kyseiset tavoitteet vastaavat täysin toisiaan, on katsottava, että SCHUFA käsittelee tietoja yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdassa tarkoitetulla tavalla oikeutetun edun toteuttamiseksi.

2) 

Kysymys siitä, onko henkilötietojen käsittely tarpeen oikeutetun edun toteuttamiseksi

65.

Henkilötietojen käsittelyn tarpeellisuutta oikeutetun edun toteuttamiseksi koskevasta edellytyksestä on todettava, että unionin tuomioistuimen oikeuskäytännön mukaan henkilötietojen suojaa koskevat poikkeukset ja rajoitukset on toteutettava täysin välttämättömän rajoissa. ( 27 ) Käsittelyn ja tavoitellun edun välillä on siis oltava läheinen yhteys, eikä henkilötietojen suojaa paremmin kunnioittavia vaihtoehtoja saa olla, sillä se, että käsittely on ainoastaan hyödyllistä rekisterinpitäjälle, ei riitä.

66.

Nyt käsiteltävässä asiassa on osoitettava, että maksukyvyttömyyteen liittyvien henkilötietojen kerääminen julkisista rekistereistä ja näiden tietojen yksityinen säilyttäminen ovat ainoa mahdollinen tapa, jolla SCHUFA voi tarjota kyseisiä tarkkoja tietoja asiakkailleen kaupallisessa tarkoituksessa. Ei voida sulkea pois sitä, että SCHUFA voisi mahdollisesti tarjota kaupallista palveluaan ja toimittaa tietoja henkilöiden luottokelpoisuudesta muiden käytettävissä olevien tietojen perusteella. Ennakkoratkaisua pyytäneen tuomioistuimen tehtävänä on selvittää, voisiko SCHUFA tämän mahdollisuuden avulla edelleenkin järkevästi tarjota kyseistä kaupallista palveluaan asiakkailleen.

67.

SCHUFA katsoo, että tietojen käsittely on tarpeen. Sen mukaan on niin, että jos luottotietopalvelua tarjoava yhtiö odottaisi, kunnes siltä pyydettäisiin yksittäistapauksessa luottotietoja, ennen kuin se alkaisi kerätä tietoja, sen olisi mahdotonta toimittaa tietoja oikea-aikaisesti. SCHUFA katsoo, että se, että tiedot ovat tietyn ajanjakson ajan (myös) yleisön saatavilla, ei vaikuta mitenkään luottotietopalveluja tarjoavien yhtiöiden oikeutettuihin etuihin eikä käsittelyn tarpeellisuuteen.

68.

Jos julkisista rekistereistä kerättyjen henkilötietojen säilyttäminen ei ole tarpeen, jotta SCHUFA voi tarjota kaupallista palveluaan asiakkailleen, tämä käsittely ei voi olla lainmukaista yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan nojalla. Jos toinen mainitussa säännöksessä säädetty edellytys kuitenkin täyttyy, ennakkoratkaisua pyytäneen tuomioistuimen on tutkittava, täyttyykö myös kolmas ja viimeinen säännöksessä säädetty kumulatiivinen edellytys.

3) 

Asiaan liittyvien eri intressien vertailu

69.

Lopuksi on todettava yhtäältä rekisterinpitäjän intressien ja toisaalta rekisteröidyn intressien, perusvapauksien ja ‑oikeuksien vertailusta, että unionin tuomioistuimen oikeuskäytännön mukaan ennakkoratkaisua pyytäneen tuomioistuimen on punnittava asiaan liittyviä etuja. ( 28 ) Tältä osin entisen 29 artiklan mukaisen tietosuojatyöryhmän, josta on tullut Euroopan tietosuojaneuvosto, jonka tehtävät määritellään yleisen tietosuoja-asetuksen 70 artiklassa, suuntaviivoissa luetellaan seuraavat kriteerit, jotka on otettava huomioon kyseisessä vertailussa: i) rekisterinpitäjän oikeutetun edun arviointi; ii) tietojen käsittelyn vaikutus rekisteröityihin; iii) alustava punninta ja iv) rekisterinpitäjän käyttöön ottamat täydentävät suojatoimet, joilla pyritään estämään tietojen käsittelyn epäasianmukainen vaikutus rekisteröityihin. ( 29 ) Perusteellisen ja loogisen analyysin nimissä sovellan mainittuja kriteerejä pääasioihin. Tällainen lähestymistapa edistää myös yleisen tietosuoja-asetuksen johdonmukaisempaa soveltamista unionin lainsäätäjän tavoitteiden mukaisesti.

i) 

Rekisterinpitäjän oikeutetun edun arviointi

70.

Ensimmäisen kriteerin osalta on todettava, että sekä SCHUFAn että sen asiakkaiden intressi on luonteeltaan ainoastaan taloudellinen. Yksityiset yritykset säilyttävät julkisista rekistereistä kerättyjä henkilötietoja tarjotakseen asiakkailleen palvelua toimittaa tietoja rekisteröityjen luottokelpoisuudesta muun muassa näiden tietojen perusteella. Kuten olen jo edellä todennut, ( 30 ) minun arvioni on, että tällaista intressiä voidaan pitää oikeutettuna etuna.

ii) 

Tietojen käsittelyn vaikutus rekisteröityihin

71.

Toisesta kriteeristä, joka koskee tietojen käsittelyn vaikutusta rekisteröityihin, on todettava, että arvioinnin kannalta merkityksellinen seikka näyttää olevan tietojen poistamisen määräaika. Mitä kauemmin tietoja säilytetään luottotietopalveluja tarjoavien yksityisten yritysten tietokannoissa, sitä enemmän tietojen säilyttäminen vaikuttaa rekisteröityihin. Käsiteltävässä asiassa pääasioiden kantajien henkilötietoja on käsitelty julkisessa rekisterissä ”asianomaisten velkojien ja tuomioistuinten tiedonsaannin parantamiseksi ja rinnakkaisten maksukyvyttömyysmenettelyjen aloittamisen estämiseksi”, kuten asetuksen 2015/848 johdanto-osan 76 perustelukappaleessa edellytetään. Eri intressien vertailun yhteydessä Saksan lainsäätäjä on katsonut, että kuutta kuukautta on pidettävä ajanjaksona, jonka ajan maksukyvyttömyysmenettelyyn liittyvien tietojen pitäminen saatavilla tällaisissa julkisissa rekistereissä on tarpeen tämän tavoitteen saavuttamiseksi. Henkilötietojen säilyttäminen tämän kuuden kuukauden ajanjakson päätyttyä näyttää siis ensi arviolta vaikuttavan huomattavan kielteisesti rekisteröityihin.

72.

Unionin tuomioistuimen oikeuskäytännöstä ilmenee, että arvioinnissa on otettava huomioon muitakin tekijöitä, nimittäin se, miten tietokannassa oleviin tietoihin voidaan tutustua, ja tarjotut henkilötietojen levittämiskeinot. ( 31 ) Yksinkertaisesti sanottuna on niin, että mitä helpommin yleisö voi tutustua tietoihin, sitä vakavammasta puuttumisesta rekisteröidyn perusoikeuksiin on kyse. Näin on varsinkin silloin, kun niiden käyttäjien määrä, joilla on pääsy rekisteröidyn tietoihin, on merkittävä. ( 32 ) Näin ollen minusta on ilmeistä, että vaikka tiedot ovat jo saatavilla julkisissa rekistereissä lakisääteisen kuuden kuukauden ajan, sillä, että niitä samalla säilytetään ja ne ovat saatavilla luottotietopalveluja tarjoavien yhtiöiden tietokannoissa, on oma vaikutuksensa kyseisen yksilön yksityisyyteen, ja tämä on seuraus, joka on otettava huomioon niiden kielteisten seurausten lisäksi, joita tietojen saatavuudella julkisista rekistereistä on.

73.

Arvioinnissa on lisäksi otettava huomioon kyseisten tietojen mahdollinen arkaluonteisuus. ( 33 ) Yleisesti voidaan todeta, että tietojen säilyttämisen vaikutus rekisteröityyn vahvistuu sen mukaan, mitä arkaluonteisemmista henkilötiedoista on kyse. Tässä yhteydessä on huomattava, että unionin tuomioistuimen oikeuskäytännöstä ilmenee, että saatavien perintää koskevat henkilötiedot ovat tosiasiallisesti arkaluonteisia tietoja rekisteröidyn yksityiselämän kannalta. ( 34 ) Tämäntyyppisten tietojen saattamista lähtökohtaisesti rajoittamattoman käyttäjämäärän saataville on siis pidettävä merkittävänä puuttumisena kyseisen henkilön perusoikeuksiin. ( 35 )

74.

Mielestäni on lisäksi välttämätöntä ottaa huomioon myös aikatekijä. Voi nimittäin käydä niin, että jopa henkilötietojen laillinen käsittely ei enää ole yleisen tietosuoja-asetuksen mukaista ajan kulumisen myötä, jos kyseiset tiedot eivät ole tai eivät enää ole merkityksellisiä tai jos niitä on liikaa suhteessa tarkoitukseen, jota varten ne on alun perin kerätty. Näin ollen ihmettelen, miten henkilötietojen säilyttäminen voisi olla oikeutettua kolmen vuoden ajan, kun kansallinen lainsäätäjä katsoo, että tietojen säilyttäminen kuuden kuukauden ajan, eli selvästi lyhyemmän aikaa, on pitkälti riittävää talouden toimijoiden taloudellisten intressien huomioon ottamiseksi. Minusta SCHUFA ei ole kyennyt vastaamaan selkeästi ja vakuuttavasti tähän kysymykseen, ( 36 ) vaikka yleisen tietosuoja-asetuksen 5 artiklan 2 kohdan nojalla sen on pystyttävä osoittamaan, että se on noudattanut henkilötietojen käsittelyä koskevia periaatteita. ( 37 )

iii) 

Alustava punninta

75.

Kaikkien edellisissä kohdissa mainittujen seikkojen arvioinnin perusteella olen sitä mieltä, että siitä, että rekisteröidyn tietoja säilytetään mainitun kuuden kuukauden ajanjakson jälkeen, rekisteröidylle aiheutuvat huomattavat kielteiset seuraukset ovat painavampia kuin yksityisen yrityksen ja sen asiakkaiden kaupallinen intressi säilyttää kyseisiä henkilötietoja mainitun ajanjakson jälkeen. Tässä yhteydessä on korostettava, että maksamatta olevista veloista vapauttamisen tavoitteena on mahdollistaa se, että vapautuksen saanut voi jälleen osallistua talouselämään. ( 38 ) Pääasioiden kantajat ja komissio ovat myös kiinnittäneet huomiota tähän seikkaan istunnossa. Tämä tavoite vaarantuisi, jos luottotietopalveluja tarjoavilla yksityisillä yrityksillä olisi oikeus säilyttää henkilötietoja tietokannoissaan sen jälkeen, kun tiedot on poistettu julkisesta rekisteristä.

iv) 

Täydentävät suojatoimet

76.

Täydentävistä suojatoimista, joita rekisterinpitäjä on mahdollisesti ottanut käyttöön estääkseen sen, että tietojen käsittelyllä olisi epäasianmukaisia vaikutuksia rekisteröityihin, on todettava, että mikään ennakkoratkaisupyynnössä tai SCHUFAn huomautuksissa ei viittaa siihen, että tällaisia suojatoimia olisi toteutettu.

4) 

Välipäätelmä

77.

Edellä esitetyn perusteella katson, että sitä, että luottotietopalvelua tarjoava yksityinen yritys säilyttää tietoja, ei voida pitää yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan nojalla lainmukaisena siitä hetkestä lähtien, kun maksukyvyttömyyteen liittyvät henkilötiedot on poistettu julkisista rekistereistä.

78.

Sen kuuden kuukauden ajanjakson osalta, jolloin henkilötiedot ovat saatavilla myös julkisista rekistereistä, ennakkoratkaisua pyytäneen tuomioistuimen on verrattava toisiinsa edellä mainittuja intressejä ja tietojen säilyttämisen vaikutuksia rekisteröityyn ja ratkaistava, voidaanko sitä, että myös luottotietopalveluja tarjoavat yksityiset yritykset säilyttävät kyseisiä tietoja tuona aikana, pitää lainmukaisena yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan nojalla.

b) 

Kysymys siitä, soveltuuko käytäntö yhteen käyttötarkoitussidonnaisuuden ja tietojen minimoinnin periaatteiden kanssa (yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan b ja c alakohta)

79.

Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdassa säädetyn käyttötarkoitussidonnaisuuden periaatteen mukaisesti on huolehdittava siitä, että tiettyä, nimenomaista tarkoitusta varten kerättyjä henkilötietoja ei käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla. Käsiteltävässä asiassa viranomaiset käsittelivät maksukyvyttömyyttä ja maksamatta olevista veloista vapauttamista koskevia tietoja lakisääteisten velvoitteidensa täyttämiseksi.

80.

Kun yksityinen yritys käyttää tietoja myöhemmin, on kuitenkin tutkittava yleisen tietosuoja-asetuksen kannalta ja sen 6 artiklan 4 kohdassa säädettyjen kriteerien perusteella, soveltuuko tietojen käyttötarkoitus yhteen tietojen alkuperäisen käsittelytarkoituksen kanssa. Erityisesti kyseisen 6 artiklan 4 kohdan a, b ja d alakohdalla on merkitystä käsiteltävässä asiassa. Niissä säädetään seuraavista kriteereistä: i) henkilötietojen keruun tarkoituksen ja myöhemmän käsittelyn tarkoituksen välinen yhteys, ii) henkilötietojen keruun asiayhteys erityisesti rekisteröityjen ja rekisterinpitäjän välisen suhteen osalta ja iii) aiotun myöhemmän käsittelyn mahdolliset seuraukset rekisteröidyille.

81.

Ensinnäkin näyttää siltä, että käyttötarkoituksilla on heikko yhteys jo siksikin, että alkuperäisestä tarkoituksesta säädetään laissa, tarkemmin sanottuna unionin oikeudessa, jossa edellytetään, että jäsenvaltiot perustavat ja ylläpitävät rekistereitä, ( 39 ) ja että alkuperäinen rekisterinpitäjä on viranomainen, joka kerää tiedot täyttääkseen lakisääteiset tehtävänsä, kun taas myöhemmän käsittelyn tarkoitus liittyy yksityisen yhteisön liiketoimintaan, jonka yhteydessä se välittää yksityisten taloustietoja.

82.

Toiseksi henkilötietojen keruun asiayhteydestä on todettava, että rekisterinpitäjän ja rekisteröidyn välillä ei ole mitään yhteyttä, sillä tiedot kerätään välillisesti rekistereistä eikä rekisteröity siis ole tietoinen siitä, että hänen tietojaan voidaan käyttää myöhemmin, siitä, kuka niitä mahdollisesti käyttää, tai siitä, mihin tarkoitukseen niitä mahdollisesti käytetään. Pidän tätä seikkaa erityisen vakavana henkilötietojen suojan näkökulmasta, koska yleisesti ottaen kukaan ei voi kohtuudella odottaa, että hänen henkilötietojaan käsitellään myöhemmin. ( 40 ) Se, että laissa säädetään, että tietoja säilytetään julkisissa rekistereissä tietyn ajan, on omiaan luomaan kohtuullisen odotuksen siitä, että kyseiset tiedot poistetaan kyseisen ajan kuluttua.

83.

Kolmanneksi henkilötietojen myöhemmän käsittelyn mahdollisista seurauksista rekisteröidyille on todettava, että maksukyvyttömyysmenettelyihin liittyviä tietoja käytetään aina negatiivisena tekijänä, kun myöhemmin arvioidaan luottokelpoisuutta ja maksukykyä kyseisen luonnollisen henkilön osalta, mikä vaikuttaa merkittävästi kyseisen henkilön oikeuksiin. Väärä mielikuva hänen taloudellisesta tilanteestaan voi vaikuttaa epäsuotuisasti rekisteröityyn vaikeuttamalla huomattavasti hänen mahdollisuuksiaan käyttää vapauksiaan tai jopa aiheuttamalla hänelle sosiaalisen stigman. Koska voi olla, että rekisteröidylle kieltäydytään myymästä tavaroita tai palveluja, rekisteröity voi kohdata perusteetonta syrjintää.

84.

Kun otetaan huomioon nämä kolme kriteeriä, joiden on täytyttävä, jotta henkilötietojen käyttötarkoitus sopisi yhteen niiden alkuperäisen käyttötarkoituksen kanssa, kuten yleisen tietosuoja-asetuksen 6 artiklan 4 kohdassa edellytetään, ei näytä siltä, että kyseisiä henkilötietoja käytettäisiin myöhemmin mahdollisesti kyseisen käyttötarkoituksen kanssa yhteensopivalla tavalla.

85.

Lisäksi on todettava, että kun kansallinen lainsäätäjä on säätänyt enintään kuuden kuukauden pituisesta ajanjaksosta, jolloin maksukyvyttömyystilanne ja veloista vapauttamista koskeva tuomioistuinratkaisu ovat julkisia rekisteritietoja, jos lakisääteiset edellytykset täyttyvät, kansallinen lainsäätäjä on jo ottanut huomioon yleisen edun toteutumisen ja vertaillut yhtäältä velkojien intressiä ja toisaalta maksukyvyttömien intressejä ja oikeuksia. ( 41 ) Se, että yksityiset yritykset käsittelevät henkilötietoja sellaisen ajanjakson ajan, joka on kuusi kertaa niin pitkä kuin ajanjakso, josta laissa säädetään julkisten rekisterien osalta, vaikuttaa kohtuuttomalta ja sillä on rekisteröidylle tosiasiallisesti rangaistuksenomaisia seurauksia, vaikka laissa ei selvästikään säädetä tällaisesta tarkoituksesta. Kuten jo totesin edellä, on nimittäin niin, että veloista vapauttamisen tavoitteena on mahdollistaa se, että vapautuksen saanut voi jälleen osallistua talouselämään. Tämä tavoite vaarantuisi, jos luottotietopalveluja tarjoavilla yksityisillä yrityksillä olisi oikeus säilyttää henkilötietoja tietokannoissaan sen jälkeen, kun ne on poistettu julkisesta rekisteristä. ( 42 ) Koska käytettävissä ei ole päinvastaista näyttöä, on syytä pelätä, että tietokantaan sisältyviin tietoihin tutustumisen edellytykset on voitu suunnitella tarkoituksessa kiertää kansallista lainsäädäntöä, jonka jäsenvaltio on antanut täyttääkseen unionin oikeuden mukaiset velvollisuutensa. ( 43 )

86.

Lisäksi on suhteetonta ”käyttää uudelleen” aiemmin vallinnutta ja jo oikeudellisesti selvitettyä tilannetta, kuten maksamattomista veloista vapauttamista, myöhemmissä arvioinneissa sen sijaan, että nojauduttaisiin riskianalyysin tekohetkellä ajan tasalle saatettuihin tietoihin rekisteröidyn taloudellisen tilanteen tarkemman ja objektiivisemman arvioinnin takaamiseksi. Voidaan nimittäin kysyä, mitä arvoa on henkilön taloudellista tilannetta koskevalla tiedolla, joka on jo useita vuosia vanhaa. Henkilötietoja, jotka liittyvät jonkin aikaa sitten tapahtuneeseen tilanteeseen, voidaan tuskin pitää luotettavina tietoina rekisteröidyn tämänhetkisestä taloudellisesta tilanteesta. Vaikuttaa siltä, että Saksan lainsäätäjä on tunnistanut tämän ongelman ja tehnyt siitä järkevät päätelmät, kun se on säätänyt, että tietoja säilytetään huomattavasti lyhyemmän ajan.

87.

Lopuksi totean, että luottotietopalveluja tarjoavien yhtiöiden toimintatapa vaikuttaa minusta olevan ristiriidassa yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdassa vahvistetun tietojen minimoinnin periaatteen kanssa, jonka mukaan henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään. Tältä osin herää kysymys siitä, miksi sellaisia henkilötietoja tulisi asettaa saataville, jotka ovat jo yleisön saatavilla jäsenvaltioiden perustamissa rekistereissä. Tällainen toiminta on mielestäni pikemminkin omiaan johtamaan arkaluonteisten tietojen levittämiseen tavalla, joka ei ole välttämättä tarpeen talouden toimijoiden taloudellisten intressien palvelemiseksi. ( 44 )

88.

Edellä esitetyistä syistä katson, että sitä, että luottotietopalvelua tarjoava yksityinen yritys säilyttää kyseiset tiedot, ei voida pitää yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan b ja c alakohdassa vahvistettujen käyttötarkoitussidonnaisuuden ja tietojen minimoinnin periaatteiden mukaisena käytäntönä.

c) 

Välipäätelmä

89.

Edellä esitetyn perusteella katson, että luottotietopalveluja tarjoavien yhtiöiden käytäntö säilyttää julkisista rekistereistä kerättyjä henkilötietoja kolmen vuoden ajan ei ole yleisessä tietosuoja-asetuksessa vahvistettujen henkilötietojen käsittelyä koskevien periaatteiden mukainen. On kuitenkin huomattava, että tämä päätelmä perustuu tosiseikkojen arviointiin, ja tosiseikkojen arviointi on viime kädessä ennakkoratkaisua pyytäneen tuomioistuimen, jonka on annettava ratkaisu riidasta, tehtävä.

2. 

Mahdollisuus käyttää oikeutta tietojen poistamiseen (yleisen tietosuoja-asetuksen 17 artiklan 1 kohta)

90.

Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee myös, merkitseekö yleisen tietosuoja-asetuksen 17 artiklassa vahvistettu ”oikeus tulla unohdetuksi” sitä, että henkilötiedot poistetaan luottotietopalvelua tarjoavan yksityisen yrityksen tietokannoista, jotka ovat rinnakkaisia julkisille rekistereille ja joissa on samat tiedot. Ennakkoratkaisua pyytänyt tuomioistuin erottelee ajanjakson, jolla henkilötiedot ovat myös saatavilla julkisessa rekisterissä, ajanjaksosta, jolla kyseiset tiedot eivät ole enää saatavilla tällaisessa rekisterissä.

91.

Yleisen tietosuoja-asetuksen 17 artiklan 1 kohdan d alakohdassa säädetään rekisteröidyllä olevasta ehdottomasta oikeudesta saada henkilötietonsa poistetuksi, jos niitä on käsitelty lainvastaisesti. ( 45 ) Jos siis – kun otetaan huomioon edellä esitetyn arviointini päätelmä ( 46 ) – ennakkoratkaisua pyytänyt tuomioistuin katsoo, että SCHUFA ei ole voinut käsitellä kantajien henkilötietoja lainmukaisesti yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan nojalla, SCHUFAn suorittama henkilötietojen käsittely on lainvastaista, jos siihen ei voida soveltaa toista yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan mukaista käsittelyperustetta. Tällöin SCHUFAlla olisi velvollisuus poistaa kantajien henkilötiedot, ja kantajilla olisi oikeus tietojen poistamiseen riippumatta siitä, ovatko he pyytäneet tietojen poistamista ennen kyseisten tietojen poistamista julkisesta rekisteristä vai sen jälkeen. Tällainen lopputulos vaikuttaa myös vastaavan yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdassa säädettyjä vaatimuksia, sillä siinä säädetään, että henkilötietoja ”on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten” (kursivointi tässä).

92.

Tässä yhteydessä haluan kiinnittää huomiota asetuksen 2015/848 79 artiklan 5 kohtaan, josta ilmenee, kuinka tärkeänä unionin lainsäätäjä on pitänyt oikeutta tietojen poistamiseen muun muassa silloin, kun viranomaiset käsittelevät erityisen arkaluonteisia henkilötietoja, kuten rekisteröityjen luottokelpoisuustietoja. Kyseisessä säännöksessä säädetään, että ”jotta rekisteröidyt voisivat käyttää oikeuksiaan ja erityisesti oikeutta tietojen poistamiseen, jäsenvaltioiden on muun muassa ilmoitettava rekisteröidyille aika, jonka maksukyvyttömyysrekistereihin tallennetut henkilötiedot ovat saatavilla” (kursivointi tässä). On ilmeistä, että unionin lainsäätäjä on katsonut, että tällaiset tiedot on poistettava, kun niiden säilyttäminen ei enää ole perusteltua.

93.

Vaikka ennakkoratkaisupyynnöt koskevat vain yleisen tietosuoja-asetuksen 17 artiklan 1 kohdan d alakohdan tulkintaa, katson, että kyseisen 17 artiklan 1 kohdan c alakohdalla voi olla myös merkitystä käsiteltävissä asioissa annettavien ratkaisujen kannalta, jos nimittäin ennakkoratkaisua pyytänyt tuomioistuin katsoo, toisin kuin itse katsoin saatavilla olevien tietojen perusteella, että SCHUFA on voinut käsitellä kantajien henkilötietoja lainmukaisesti yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan nojalla. Mainitussa c alakohdassa säädetään oikeudesta henkilötietojen poistamiseen tilanteessa, jossa rekisteröity vastustaa käsittelyä yleisen tietosuoja-asetuksen 21 artiklan 1 kohdan nojalla eikä käsittelylle ole olemassa ensisijaista perusteltua syytä. Säännöksen sanamuodosta seuraa, että mikä tahansa ”ensisijainen perusteltu syy” henkilötietojen käsittelemiselle muodostaa poikkeuksen rekisteröidyn oikeudelle vastustaa käsittelyä ja saada henkilötietonsa poistettua. Rekisteröidyllä on siis lähtökohtaisesti oikeus vastustaa henkilötietojensa käsittelyä ja oikeus tietojen poistamiseen, ellei ensisijaisesta perustellusta syystä muuta johdu. ( 47 )

94.

Katson, että henkilötietojen tehokas suojaaminen edellyttää, että mahdollisuudelle käyttää oikeutta tietojen poistamiseen ei tulisi olla merkittäviä esteitä varsinkaan silloin, kun markkinoilla on useita luottotietopalveluja tarjoavia yhtiöitä, jotka säilyttävät tietoja julkisen rekisterin lisäksi. Jos kyseisen oikeuden käyttäminen olisi kohtuuttoman vaikeaa, koska yleisen tietosuoja-asetuksen 17 artiklan 1 kohdan d alakohtaa tulkittaisiin suppeasti, vaarana olisi, että kilpailijat kiertäisivät yleisen tietosuoja-asetuksen mukaista suojaa. On muistutettava, että unionin lainsäätäjän tavoitteena on ollut varmistaa ”luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen – – kaikkialla unionissa” (kursivointi tässä), kuten yleisen tietosuoja-asetuksen johdanto-osan kymmenennestä perustelukappaleesta ilmenee. Näin ollen rekisteröidyn on voitava vedota oikeuksiinsa kaikkia näitä sääntöjä rikkovia yhtiöitä vastaan. Koska SCHUFA on vain yksi monista suurista luottotietopalveluja tarjoavista yhtiöistä Saksassa, on tarpeen selvittää, onko se, että henkilötietoja säilytetään julkiselle rekisterille rinnakkaisesti, tällaisten yritysten keskuudessa tavanomainen käytäntö.

95.

Tarkastelun tässä vaiheessa on siis katsottava, että kantajat voivat lähtökohtaisesti vedota yleisen tietosuoja-asetuksen 17 artiklan 1 kohdan mukaiseen oikeuteensa tietojen poistamiseen. Toisin olisi katsottava vain siinä tapauksessa, että luottotietopalveluja tarjoava yksityinen yritys on osoittanut yleisen tietosuoja-asetuksen 21 artiklan 1 kohdassa tarkoitetulla tavalla, että ”käsittelyyn on olemassa huomattavan tärkeä ja perusteltu syy, joka syrjäyttää rekisteröidyn edut, oikeudet ja vapaudet”. Koska saatavilla olevien tietojen perusteella ei voida havaita perusteltuja syitä, joista pääasioissa voisi olla kyse, ennakkoratkaisua pyytäneen tuomioistuimen tehtävänä on todeta tosiseikat ja vertailla tarvittaessa asiaan liittyviä intressejä.

96.

Edellä esitetyn perusteella yleisen tietosuoja-asetuksen 17 artiklan 1 kohdan d alakohtaa on tulkittava siten, että rekisteröidyllä on oikeus saada rekisterinpitäjä poistamaan rekisteröityä koskevat henkilötiedot ilman aiheetonta viivytystä, jos henkilötietoja on käsitelty asetuksen 6 artiklan 1 kohdassa tarkoitetulla tavalla lainvastaisesti. Yleisen tietosuoja-asetuksen 17 artiklan 1 kohdan c alakohtaa on tulkittava siten, että rekisteröidyllä on lähtökohtaisesti oikeus saada rekisterinpitäjä poistamaan rekisteröityä koskevat henkilötiedot ilman aiheetonta viivytystä, jos rekisteröity vastustaa käsittelyä kyseisen asetuksen 21 artiklan 1 kohdan nojalla. Ennakkoratkaisua pyytäneen tuomioistuimen tehtävänä on tutkia, onko käsittelylle poikkeuksellisesti ensisijainen perusteltu syy.

3. 

Yleisen tietosuoja-asetuksen 40 artiklassa tarkoitettujen käytännesääntöjen käyttäminen siten, että niissä määrätään tietojen tarkistamiseen ja poistamiseen sovellettavista määräajoista, jotka ovat pidempiä kuin tietojen säilyttämistä julkisissa rekistereissä koskevat määräajat

97.

Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee myös, voidaanko unionin oikeuden mukaisena pitää sitä, että yleisen tietosuoja-asetuksen 40 artiklassa tarkoitetuissa käytännesäännöissä määrätään tietojen tarkistamista ja poistamista koskevista määräajoista, jotka ovat pidempiä kuin tietojen säilyttämistä julkisissa rekistereissä koskevat määräajat, ilman, että on tarpeen suorittaa asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdassa säädetty vertailu.

98.

Tältä osin on aluksi huomautettava, että ennakkoratkaisua pyytäneen tuomioistuimen mukaan tällä hetkellä ei ole kansallista säännöstöä, jossa säädettäisiin luottotietopalveluja tarjoavien yhtiöiden tietokantoihin sovellettavista tietojen poistamista koskevista määräajoista. Vaikuttaa kuitenkin siltä, että asianosaiset pitävät käytännesääntöjä, jotka valvontaviranomaiset ovat hyväksyneet yhdessä luottotietopalveluja tarjoavia yhtiöitä edustavan yhdistyksen kanssa, eräänlaisena oikeusperustana, jonka perusteella edellä kuvattu käytäntö voidaan oikeuttaa. Tätä käsitystä voidaan minusta arvostella oikeudellisin perustein seuraavasti.

99.

Oikeudellisesti tällaisia käytännesääntöjä on pidettävä vain niiden tahojen vapaaehtoisena sitoumuksena, jotka ovat laatineet ja hyväksyneet säännöt, eli edellä mainitun yhdistyksen ja sen jäsenten vapaaehtoisena sitoumuksena. Samoin se, että valvontaviranomainen on hyväksynyt kyseiset käytännesäännöt, merkitsee ainoastaan sitä, että se katsoo hallintoviranomaisena, että kyseiset käytännesäännöt sitovat sitä. Minusta on kuitenkin selvää, että käytännesäännöt eivät sido kolmansia osapuolia pacta tertiis nec nocent nec prosunt ‑oikeusperiaatteen mukaisesti. Päinvastaisessa tapauksessa käytännesäännöt koskisivat paitsi luonnollisia henkilöitä, joiden tietoja käsitellään, myös yhtiöitä, jotka eivät ole osallistuneet niiden laatimiseen.

100.

Käytännesäännöillä ei määritelmällisesti ole normatiivista arvoa oikeusjärjestyksessä, vaan niillä on pikemminkin tarkoitus täsmentää säädöksen säännöksiä sen soveltamisen helpottamiseksi. Tätä tulkintaa tukevat yleisen tietosuoja-asetuksen 40 artiklan 1 ja 2 kohta, joista ilmenee, että rekisterinpitäjien tai henkilötietojen käsittelijöiden eri ryhmiä edustavien yhdistysten ja muiden elinten laatimat käytännesäännöt on tarkoitettu yhtäältä tukemaan tämän asetuksen asianmukaista soveltamista ja toisaalta täsmentämään asetuksen säännösten soveltamista. Koska siis kyseisten käytännesääntöjen tarkoituksena on vain varmistaa yleisen tietosuoja-asetuksen asianmukainen soveltaminen tietyllä alalla, ne eivät voi yksinään olla oikeusperustana henkilötietojen käsittelylle. ( 48 )

101.

Ainoa mahdollinen henkilötietojen käsittelyn oikeusperusta on yleisen tietosuoja-asetuksen 6 artikla tai – jos asiassa voidaan soveltaa poikkeamisen mahdollistavaa sääntöä – kansallinen lainsäädäntö. Olen jo todennut tässä ratkaisuehdotuksessa, että yleisen tietosuoja-asetuksen 6 artiklassa vahvistetaan tyhjentävä luettelo tilanteista, joissa henkilötietojen käsittelyn voidaan katsoa olevan laillista. ( 49 ) Näin ollen kyseistä luetteloa ei voida laajentaa käytännesäännöillä ilman, että samalla rikottaisiin unionin oikeutta.

102.

Mielestäni juuri tästä on kyse silloin, kun – kuten käsiteltävässä asiassa – käytännesäännöissä asetetaan luottotietopalveluja tarjoaville yhtiöille velvollisuus säilyttää rekisteröityjen tietoja kolmen vuoden ajan eli sellaisen pidemmän ajanjakson ajan, jota ei voida perustella, kun otetaan huomioon yleisessä tietosuoja-asetuksessa vahvistetut henkilötietojen käsittelyä koskevat periaatteet. Tarkemmin sanottuna – kuten analyysistani ilmenee – näiden tietojen säilyttämistä ei voida pitää lainmukaisena yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan nojalla sen jälkeen, kun maksukyvyttömyyteen liittyvät henkilötiedot on poistettu julkisista rekistereistä. ( 50 )

103.

Tarkastelun tässä vaiheessa on siis todettava, että käytännesääntöjä, jotka johtavat eri tulokseen kuin yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdassa säädetyn soveltaminen, ei voida ottaa huomioon tämän säännöksen nojalla suoritettavassa intressivertailussa. Luottotietopalveluja tarjoavat yhtiöt eivät yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettuina rekisterinpitäjinä voi piiloutua itse laatimiensa käytännesääntöjen taakse vapautuakseen pätevästi yleisen tietosuoja-asetuksen mukaisista velvollisuuksistaan.

104.

Edellä esitetyn perusteella katson, että yleisen tietosuoja-asetuksen 40 artiklan 2 ja 5 kohtaa on tulkittava siten, että mainittujen säännösten mukaisesti laadituissa käytännesäännöissä, jotka valvontaviranomainen on mahdollisesti hyväksynyt, ei voida määrätä oikeudellisesti sitovalla tavalla yleisen tietosuoja-asetuksen 6 artiklan 1 kohdassa määriteltyihin edellytyksiin nähden erilaisista henkilötietojen lainmukaista käsittelyä koskevista edellytyksistä.

VI 

Ratkaisuehdotus

105.

Edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa Verwaltungsgericht Wiesbadenin esittämiin ennakkoratkaisukysymyksiin seuraavasti: