–

OQ vārdā – U. Schmidt, Rechtsanwalt,

–

Land Hessen vārdā – M. Kottmann un G. Ziegenhorn, Rechtsanwälte,

–

SCHUFA Holding AG vārdā – G. Thüsing un U. Wuermeling, Rechtsanwalt,

–

Vācijas valdības vārdā – P.‑L. Krüger, pārstāvis,

–

Dānijas valdības vārdā – V. Pasternak Jørgensen, M. Søndahl Wolff un Y. Thyregod Kollberg, pārstāves,

–

Portugāles valdības vārdā – P. Barros da Costa, I. Oliveira, M. J. Ramos un C. Vieira Guerra, pārstāves,

–

Somijas valdības vārdā – M. Pere, pārstāve,

–

Eiropas Komisijas vārdā – A. Bouchagiar, F. Erlbacher un H. Kranenborg, pārstāvji,

1

Lūgums sniegt prejudiciālu nolēmumu ir par to, kā interpretēt Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp.; un kļūdu labojums OV 2018, L 127, 2. lpp.; turpmāk tekstā – “VDAR”) 6. panta 1. punktu un 22. pantu.

2

Šis lūgums ir iesniegts saistībā ar tiesvedību OQ prasībā pret Land Hessen (Hesenes federālā zeme, Vācija) par Hessischer Beauftragter für Datenschutz und Informationsfreiheit (Hesenes federālās zemes Datu aizsardzības un informācijas brīvības uzraudzītājs, Vācija; turpmāk tekstā – “HBDI”) atteikumu uzdot SCHUFA Holding AG (turpmāk tekstā – “SCHUFA”) apmierināt OQ pieprasījumu, kurā šī persona lūdz piekļuvi saviem datiem un tos dzēst.

3

VDAR 71. apsvērumā ir teikts:

“Datu subjektam vajadzētu būt tiesībām nebūt tāda lēmuma subjektam, kurā var būt ietverts pasākums, ar ko izvērtē ar viņu saistītus personiskus aspektus, un kura pamatā ir tikai automatizēta apstrāde un kurai ir juridiskas sekas attiecībā uz datu subjektu vai kura līdzīgā veidā ievērojami ietekmē datu subjektu – piemēram, tiešsaistē iesniegta kredītpieteikuma automātisks noraidījums vai elektroniska darbā pieņemšanas prakse bez cilvēka līdzdalības. Šāda apstrāde ietver “profilēšanu”, kas izpaužas kā jebkura veida automatizēta personas datu apstrāde, kurā izvērtē ar fizisku personu saistītus personiskus aspektus, jo īpaši, lai analizētu vai prognozētu aspektus saistībā ar datu subjekta sniegumu darbā, ekonomisko situāciju, veselību, personīgām vēlmēm vai interesēm, uzticamību vai uzvedību, atrašanās vietu vai pārvietošanos, ja šādai apstrādei ir juridiskas sekas attiecībā uz fizisko personu vai tā līdzīgā veidā viņu ievērojami ietekmē. Tomēr lēmumu pieņemšana, pamatojoties uz šādu apstrādi, tostarp profilēšanu, būtu jāatļauj, ja tā ir nepārprotami atļauta saskaņā ar Savienības vai dalībvalsts tiesību aktiem, kuri ir piemērojami pārzinim, tostarp krāpšanas nodokļu jomā un nodokļu nemaksāšanas uzraudzībai un novēršanai, ko veic saskaņā ar [Eiropas] Savienības iestāžu vai valsts uzraudzības iestāžu noteikumiem, standartiem un ieteikumiem, un lai nodrošinātu pārziņa sniegtā pakalpojuma drošību un uzticamību, vai ja šāda apstrāde ir vajadzīga, lai noslēgtu vai izpildītu līgumu starp datu subjektu un pārzini, vai ja datu subjekts ir nepārprotami piekritis šādai apstrādei. Jebkurā gadījumā uz šādu apstrādi būtu jāattiecina atbilstošas garantijas, kurām būtu jāaptver konkrētas informācijas sniegšana datu subjektam un tiesības panākt cilvēka līdzdalību, tiesības paust savu viedokli, saņemt paskaidrojumu par lēmumu, kas pieņemts pēc šādas izvērtēšanas, un apstrīdēt lēmumu. Šāds pasākums nebūtu jāattiecina uz bērnu.

Lai nodrošinātu godprātīgu un pārredzamu apstrādi attiecībā uz datu subjektu, ņemot vērā konkrētos apstākļus un kontekstu, kurā personas dati tiek apstrādāti, pārzinim būtu jāizmanto piemērotas matemātiskās vai statistikas procedūras profilēšanai, jāveic atbilstīgi tehniski un organizatoriski pasākumi, lai jo īpaši nodrošinātu, ka tiek koriģēti faktori, kuru dēļ rodas personas datu neprecizitātes, un ka līdz minimumam ir samazināts kļūdu rašanās risks, jāgarantē personas datu drošība tādā veidā, lai ņemtu vērā iespējamos riskus attiecībā uz datu subjekta interesēm un tiesībām, un cita starpā jānovērš fizisku personu diskriminācija rases vai etniskās izcelsmes, politisko uzskatu, reliģiskās vai ticības piederības, dalības arodbiedrībā, ģenētiskā vai veselības stāvokļa vai dzimumorientācijas dēļ vai apstrāde, kuras rezultātā pasākumi radītu šādu diskrimināciju. Automatizēta lēmumu pieņemšana un profilēšana, pamatojoties uz īpašām personas datu kategorijām, būtu jāatļauj tikai saskaņā ar konkrētiem nosacījumiem.”

4

Šīs regulas 4. pants “Definīcijas” noteic:

“Šajā regulā:

[..]

[..].”

5

Minētās regulas 5. pants “Personas datu apstrādes principi” noteic:

“1.   Personas dati:

2.   Pārzinis ir atbildīgs par atbilstību 1. punktam un var to uzskatāmi parādīt (“pārskatatbildība”).”

6

VDAR 6. panta “Apstrādes likumīgums” 1. un 3. punktā ir noteikts:

“1.   Apstrāde ir likumīga tikai tādā apmērā un tikai tad, ja ir piemērojams vismaz viens no turpmāk minētajiem pamatojumiem:

[..]

3.   Šā panta 1. punkta c) un e) apakšpunktā minēto apstrādes pamatu nosaka ar:

Apstrādes nolūku nosaka minētajā juridiskajā pamatā vai – attiecībā uz 1. punkta e) apakšpunktā minēto apstrādi – tas ir vajadzīgs, lai izpildītu uzdevumu, ko veic sabiedrības interesēs vai īstenojot pārzinim likumīgi piešķirtās oficiālās pilnvaras. [..]”

7

Šīs regulas 9. pants “Īpašu kategoriju personas datu apstrāde” noteic:

“1.   Ir aizliegta tādu personas datu apstrāde, kas atklāj rases vai etnisko piederību, politiskos uzskatus, reliģisko vai filozofisko pārliecību vai dalību arodbiedrībās, un ģenētisko datu, biometrisko datu, lai veiktu fiziskas personas unikālu identifikāciju, veselības datu vai datu par fiziskas personas dzimumdzīvi vai seksuālo orientāciju apstrāde.

2.   Šā panta 1. punktu nepiemēro, ja ir piemērojams kāds no šādiem pamatojumiem:

[..]

[..].”

8

Minētās regulas 13. panta “Informācija, kas jāsniedz, ja personas dati ir iegūti no datu subjekta” 2. punktā ir noteikts:

“Papildus 1. punktā minētajai informācijai pārzinis personas datu iegūšanas laikā datu subjektam sniedz šādu papildu informāciju, kas vajadzīga, lai nodrošinātu godprātīgu un pārredzamu apstrādi:

[..]

9

VDAR 14. panta “Informācija, kas jāsniedz, ja personas dati nav iegūti no datu subjekta” 2. punktā ir noteikts:

“Papildus 1. punktā minētajai informācijai, pārzinis datu subjektam sniedz turpmāk norādīto informāciju, kas vajadzīga, lai nodrošinātu godprātīgu un pārredzamu apstrādi attiecībā uz datu subjektu:

[..]

10

Šīs regulas 15. panta “Datu subjekta piekļuves tiesības” 1. punktā ir noteikts:

“Datu subjektam ir tiesības saņemt no pārziņa apstiprinājumu par to, vai attiecībā uz datu subjektu tiek vai netiek apstrādāti personas dati, un, ja tiek, datu subjektam ir tiesības piekļūt attiecīgajiem datiem un saņemt šādu informāciju:

[..]

11

Minētās regulas 22. pants “Automatizēta individuālu lēmumu pieņemšana, tostarp profilēšana” noteic:

“1.   Datu subjektam ir tiesības nebūt tāda lēmuma subjektam, kura pamatā ir tikai automatizēta apstrāde, tostarp profilēšana, kas attiecībā uz datu subjektu rada tiesiskās sekas vai kas līdzīgā veidā ievērojami ietekmē datu subjektu.

2.   Šā panta 1. punktu nepiemēro, ja lēmums:

3.   Šā panta 2. punkta a) un c) apakšpunktā minētajos gadījumos datu pārzinis veic atbilstīgus pasākumus, lai aizsargātu datu subjekta tiesības un brīvības, un leģitīmās intereses – vismaz tiesības panākt cilvēka līdzdalību no pārziņa puses –, lai datu subjekts varētu paust savu viedokli un apstrīdēt lēmumu.

4.   Šā panta 2. punktā minētos lēmumus nepamato ar īpašām personas datu kategorijām, kuras minētas 9. panta 1. punktā, izņemot, ja tiek piemērots 9. panta 2. punkta a) vai g) apakšpunkts un tiek nodrošināti atbilstīgi pasākumi, ar ko aizsargā datu subjekta tiesības un brīvības, un leģitīmās intereses.”

12

VDAR 78. panta “Tiesības uz efektīvu tiesību aizsardzību tiesā pret uzraudzības iestādi” 1. punktā ir noteikts:

“Neskarot jebkādus citus administratīvos vai ārpustiesas tiesību aizsardzības līdzekļus, katrai fiziskai vai juridiskai personai ir tiesības uz efektīvu tiesību aizsardzību tiesā pret uzraudzības iestādes pieņemtu juridiski saistošu lēmumu, kas skar minētās personas.”

13

2017. gada 30. jūnijaBundesdatenschutzgesetz (Datu aizsardzības likums; BGBl. I, 2097. lpp.; turpmāk tekstā – “BDSG”), 31. pants “Saimnieciskās dzīves aizsardzība saistībā ar scoring [score vērtību iegūšanu] un informāciju par kredītspēju” noteic:

“(1)   Varbūtības vērtības izmantošana saistībā ar fiziskas personas konkrētu rīcību nākotnē, lai izlemtu par līgumattiecību nodibināšanu, izpildi vai izbeigšanu ar šo personu (t.s. scoring), ir atļauta tikai tad, ja:

(2)   Kredītinformācijas biroju noskaidrotas varbūtības vērtības izmantošana saistībā ar fiziskas personas maksātspēju un vēlmi veikt maksājumus, ņemot vērā informāciju par prasījumiem, ir atļauta tikai tad, ja ir izpildīti 1. punktā minētie nosacījumi un tiek ņemti vērā vienīgi tādi prasījumi saistībā ar izpildījumu, kas nav veikts, lai gan tā izpildei ir beidzies termiņš:

5.   kuru pamatā esošās līgumiskās attiecības maksājumu kavējumu dēļ var tikt izbeigtas bez iepriekšēja brīdinājuma un kuru gadījumā parādnieks iepriekš ir ticis informēts par iespējamību, ka šo informāciju var ņemt vērā kāds kredītinformācijas birojs.

Iepriekš minētais neskar citu ar kredītspēju saistīto datu apstrādes, t.sk. varbūtības vērtību noskaidrošanas, pieļaujamību saskaņā ar vispārīgajām datu aizsardzības tiesībām.”

14

SCHUFA ir privāta sabiedrība, kas izveidota saskaņā ar Vācijas tiesībām un sniedz saviem līgumpartneriem informāciju par trešo personu, tostarp patērētāju, kredītspēju. Tālab tā, pamatojoties uz matemātiskās statistikas metodi, izveido prognozi par konkrētas personas rīcības nākotnē, piemēram, kredīta atmaksas, iespējamību (“score”). Score vērtību noteikšana (“scoring”) balstās uz pieņēmumu, ka – ierindojot kādu personu grupā, kurā ir citas personas, kurām ir līdzīgi raksturlielumi un kas rīkojušās kādā konkrētā veidā – ir iespējams paredzēt līdzīgu rīcību.

15

No lūguma sniegt prejudiciālu nolēmumu izriet, ka OQ ir saņēmusi kredīta atteikumu no kādas trešās personas pēc tam, kad SCHUFA bija sagatavojusi un šai trešai personai nodevusi negatīvu informāciju par OQ. OQ lūdza SCHUFA sniegt tai informāciju par reģistrētajiem viņas personas datiem un dzēst tos datus, kas esot kļūdaini.

16

Atbildot uz šo pieprasījumu, SCHUFA informēja OQ par attiecībā uz viņu aprēķināto score vērtību un vispārīgos vilcienos izklāstīja šo vērtību aprēķināšanas kārtību. Tomēr, atsaucoties uz komercnoslēpumu, tā atteicās izpaust, tieši kāda informācija ir tikusi ņemta vērā, veicot šo aprēķinu, kā arī to, kā tā tikusi izsvērta. Visbeidzot, SCHUFA norādīja, ka tā vienīgi sniedz informāciju saviem līgumpartneriem un ka pašus lēmumus par līgumsaistībām pieņemot šie līgumpartneri.

17

Ar sūdzību, kas iesniegta 2018. gada 18. oktobrī, OQ lūdza kompetento uzraudzības iestādi HBDI uzdot SCHUFA apmierināt viņas pieprasījumu par piekļuvi informācijai un šīs informācijas dzēšanu.

18

Ar 2020. gada 3. jūnija lēmumu HBDI noraidīja šo sūdzību, paskaidrojot, ka nav pierādīts, ka SCHUFA neievēro BDSG 31. pantā noteiktās prasības attiecībā uz tās darbību.

19

Par šo lēmumu OQ, pamatojoties un VDAR 78. panta 1. punktu, cēla prasību Verwaltungsgericht Wiesbaden (Vīsbādenes Administratīvā tiesa, Vācija), kas ir iesniedzējtiesa.

20

Šī tiesa uzskata, ka, lai izspriestu tajā izskatāmo strīdu, ir jānoskaidro, vai tādas varbūtības vērtības noteikšana kā pamatlietā aplūkotā ir automatizēta individuālu lēmumu pieņemšana VDAR 22. panta 1. punkta izpratnē. Proti, apstiprinošas atbildes gadījumā šīs darbības likumīgums saskaņā ar šīs regulas 22. panta 2. punkta b) apakšpunktu būtu pakārtots nosacījumam, ka šāds lēmums ir atļauts saskaņā ar pārzinim piemērojamajiem Savienības vai dalībvalsts tiesību aktiem.

21

Šajā ziņā iesniedzējtiesa šaubās par tēzi, ka VDAR 22. panta 1. punkts nebūtu piemērojams tādu uzņēmumu kā SCHUFA darbībai. Savas šaubas tā pamato divējādi: no faktuālā viedokļa – ar to, cik tāda varbūtības vērtība kā pamatlietā aplūkotā ir nozīmīga attiecībā uz to, kā lēmumus pieņem trešās personas, kuru rīcībā tā ir nodota, un no juridiskā viedokļa – galvenokārt ar šā 22. panta 1. punkta mērķiem un VDAR paredzētajām tiesiskās aizsardzības garantijām.

22

Proti, iesniedzējtiesa uzsver, ka tieši šī varbūtības vērtība parasti ietekmē to, vai un kā trešā persona noslēgs līgumu ar datu subjektu. Savukārt VDAR 22. pants esot domāts tieši tālab, lai aizsargātu personas pret riskiem, kas saistīti ar lēmumiem, kuri ir balstīti tikai uz automātismu.

23

Turpretim, ja VDAR 22. panta 1. punkts būtu jāinterpretē tādējādi, ka “automatizēta individuāla lēmuma” statuss tādā situācijā kā pamatlietā aplūkotā var tikt atzīts tikai lēmumam, ko attiecībā uz datu subjektu ir pieņēmusi trešā persona, no tā izrietētu robs tiesiskajā aizsardzībā. Proti, pirmkārt, tādam uzņēmumam kā SCHUFA nebūtu pienākuma nodrošināt piekļuvi papildu informācijai, uz kuru datu subjektam ir tiesības saskaņā ar šīs regulas 15. panta 1. punkta h) apakšpunktu, jo šis uzņēmums nebūtu tas, kurš pieņem “automatizētu lēmumu” šīs tiesību normas izpratnē un līdz ar to arī minētās regulas 22. panta 1. punkta izpratnē. Otrkārt, trešā persona, kurai tiek paziņota varbūtības vērtība, nevarētu sniegt šo papildu informāciju, jo tās rīcībā tās nav.

24

Tādējādi iesniedzējtiesa uzskata, ka, lai izvairītos no šāda roba tiesiskajā aizsardzībā, būtu nepieciešams, lai tādas varbūtības vērtības kā pamatlietā aplūkotā vērtība iegūšana ietilptu VDAR 22. panta 1. punkta piemērošanas jomā.

25

Ja šāda interpretācija tiktu atbalstīta, tad šīs darbības likumīgums būtu pakārtots juridiskā pamata esamībai attiecīgās dalībvalsts līmenī saskaņā ar šīs regulas 22. panta 2. punkta b) apakšpunktu. Taču šajā gadījumā, lai gan BDSG 31. pants patiešām varētu būt šāds juridiskais pamats Vācijā, būtu nopietnas šaubas par šīs tiesību normas saderību ar VDAR 22. pantu, jo Vācijas likumdevējs reglamentējot tikai tādas varbūtības vērtības, kāda ir aplūkota pamatlietā, “izmantošanu”, nevis pašu šīs vērtības iegūšanu.

26

Turpretim, ja šādas varbūtības vērtības iegūšana nav automatizēts individuāls lēmums VDAR 22. panta izpratnē, šā 22. panta 2. punkta b) apakšpunktā ietvertā atvērējklauzula nebūtu piemērojama arī šo darbību reglamentējošajiem valstu tiesiskajiem regulējumiem. Ņemot vērā gan to, ka VDAR principā ir izsmeļoša, gan to, ka nepastāv cita normatīvā kompetence pieņemt šādus valsts tiesiskos regulējumus, šķietot, ka Vācijas likumdevējs, pakārtodams varbūtības vērtību iegūšanu stingrākiem likumīguma nosacījumiem attiecībā uz saturu, šo reglamentēto jomu regulē sīkāk un uzstāda par VDAR 6. un 22. pantā noteiktajam prasībām stingrākas prasības, lai arī tam nav reglamentēšanas pilnvaru to darīt. Ja šis viedoklis būtu pareizs, mainītos valsts uzraudzības iestādes pārbaudes apjoms, jo tai kredītinformācijas biroju darbības saderība tad būtu jāizvērtē ar šīs regulas 6. panta mērauklu.

27

Šajos apstākļos Verwaltungsgericht Wiesbaden (Vīsbādenes Administratīvā tiesa) nolēma apturēt tiesvedību un uzdot Tiesai šādus prejudiciālus jautājumus:

28

SCHUFA apstrīd lūguma sniegt prejudiciālu nolēmumu pieņemamību, norādot, pirmām kārtām, ka iesniedzējtiesai nav jāpārbauda tādas uzraudzības iestādes kā HBDI pieņemtā lēmuma par sūdzību saturs, jo VDAR 78. panta 1. punktā paredzētā iespēja vērsties tiesā par šādu lēmumu ir domāta tikai tālab, lai pārbaudītu, vai šī iestāde ir ievērojusi pienākumus, kas tai ir noteikti saskaņā ar šo regulu, it īpaši pienākumu izskatīt sūdzības, precizējot, ka minētajai iestādei ir rīcības brīvība izlemt, vai un kā tai būtu jārīkojas.

29

Otrām kārtām, SCHUFA apgalvo, ka iesniedzējtiesa nav izklāstījusi konkrētus iemeslus, kuru dēļ uzdotie jautājumi būtu izšķiroši pamatlietas izspriešanai. Pamatlietas priekšmets esot pieprasījums sniegt informāciju par kādu konkrētu score vērtību un to dzēst. Taču šajā gadījumā SCHUFA esot pietiekami izpildījusi savu pienākumu sniegt informāciju un jau esot izdzēsusi tiesvedībā aplūkoto score vērtību.

30

Šajā ziņā jāatgādina Tiesas pastāvīgās judikatūras atziņa, ka vienīgi valsts tiesa, kas izskata strīdu un uzņemas atbildību par tajā pieņemamo nolēmumu, var, ņemot vērā lietas apstākļus, izvērtēt gan to, cik lielā mērā prejudiciālais nolēmums ir vajadzīgs, lai tā varētu taisīt spriedumu, gan to, cik nozīmīgi lietas izspriešanai ir Tiesai uzdotie jautājumi. Līdz ar to, ja uzdotie jautājumi attiecas uz Savienības tiesību interpretāciju, Tiesai principā ir jāsniedz nolēmums (spriedums, 2023. gada 12. janvāris, DOBELES HES, C‑702/20 un C‑17/21, EU:C:2023:1, 46. punkts, kā arī tajā minētā judikatūra).

31

No minētā izriet, ka uz jautājumiem par Savienības tiesību interpretāciju attiecas nozīmīguma prezumpcija. Tiesa var atteikties lemt par valsts tiesas uzdotu prejudiciālu jautājumu tikai tad, ja ir acīmredzams, ka lūgtajai Savienības tiesiskā regulējuma interpretācijai vai spēkā esamības izvērtējumam nav nekāda sakara ar pamatlietas faktisko situāciju vai tās priekšmetu, ja izvirzītā problēma ir hipotētiska vai ja Tiesai nav zināmi faktiskie vai juridiskie apstākļi, kas nepieciešami, lai sniegtu noderīgu atbildi uz tai uzdotajiem jautājumiem (spriedums, 2023. gada 12. janvāris, DOBELES HES, C‑702/20 un C‑17/21, EU:C:2023:1, 47. punkts, kā arī tajā minētā judikatūra).

32

Pirmām kārtām, par nepieņemamības pamatu – kas balstīts uz to, ka uzraudzības iestādes par sūdzībām pieņemtie lēmumi it kā esot pakļauti ierobežotai pārbaudei tiesā – jāatgādina VDAR 78. panta 1. punktā noteiktais, ka, neskarot jebkādus citus administratīvos vai ārpustiesas tiesību aizsardzības līdzekļus, katrai fiziskai vai juridiskai personai ir tiesības uz efektīvu tiesību aizsardzību tiesā pret uzraudzības iestādes pieņemtu juridiski saistošu lēmumu, kas skar minētās personas.

33

Šajā gadījumā lēmums, ko HBDI pieņēmis kā uzraudzības iestāde, ir juridiski saistošs lēmums šā 78. panta 1. punkta izpratnē. Proti, šī iestāde, izvērtējusi tai iesniegtās sūdzības pamatotību, par to lēma un konstatēja, ka pamatlietā prasītājas apstrīdētā personas datu apstrāde bijusi likumīga.

34

Par šāda lēmuma pārbaudes tiesā apjomu saistībā ar prasību, kas celta saskaņā ar minēto 78. panta 1. punktu, pietiek vien norādīt, ka uzraudzības iestādes lēmums par sūdzību ir pakļauts pilnīgai pārbaudei tiesā (spriedums, 2023. gada 7. decembris, SCHUFA Holding (Atbrīvošana no atlikušajām parādsaistībām), C‑26/22 un C‑64/22, EU:C:2023:XXX, rezolutīvās daļas 1. punkts).

35

Tāpēc pirmais SCHUFA izvirzītais nepieņemamības pamats ir jānoraida.

36

Otrām kārtām, no lūguma sniegt prejudiciālu nolēmumu skaidri izriet, ka iesniedzējtiesa vēlas noskaidrot, kāds pārbaudes kritērijs ir jāņem vērā, pamatlietā aplūkoto personas datu apstrādi izvērtējot VDAR gaismā, un šis kritērijs ir atkarīgs no tā, vai ir piemērojams šīs regulas 22. panta 1. punkts.

37

Tādējādi nav acīmredzams ne tas, ka iesniedzējtiesas lūgtajai VDAR interpretācijai nebūtu nekādas saistības ar pamatlietas faktiskajiem apstākļiem vai tās priekšmetu, ne arī tas, ka problēma būtu hipotētiska. Turklāt Tiesai ir zināmi faktiskie un juridiskie apstākļi, lai sniegtu noderīgu atbildi uz tai uzdotajiem jautājumiem.

38

Tāpēc arī otrais SCHUFA izvirzītais nepieņemamības pamats ir jānoraida.

39

Šajos apstākļos lūgums sniegt prejudiciālu nolēmumu ir pieņemams.

40

Ar pirmo jautājumu iesniedzējtiesa būtībā jautā, vai VDAR 22. panta 1. punkts ir jāinterpretē tādējādi, ka par “automatizētu individuālu lēmumu” šīs tiesību normas izpratnē ir uzskatāms tas, ka kredītinformācijas birojs, pamatojoties uz kādas personas datiem, automatizēti iegūst varbūtības vērtību par tās spēju nākotnē izpildīt maksājumu saistības, ja no šīs varbūtības vērtības ir izšķiroši atkarīgs tas, vai trešā persona, kurai šī varbūtības vērtība ir paziņota, izveidos, izpildīs vai izbeigs līgumattiecības ar šo personu.

41

Lai atbildētu uz šo jautājumu, vispirms jāatgādina, ka, interpretējot Savienības tiesību normu, jāņem vērā ne tikai tās teksts, bet arī konteksts un šo normu ietverošā tiesību akta mērķi un nolūks (spriedums, 2023.gada 22. jūnijs, Pankki S, C‑579/21, EU:C:2023:501, 38. punkts un tajā minētā judikatūra).

42

Runājot par VDAR 22. panta 1. punkta formulējumu, jāteic, ka šī norma noteic, ka datu subjektam ir tiesības nebūt tāda lēmuma subjektam, kura pamatā ir tikai automatizēta apstrāde, tostarp profilēšana, kas attiecībā uz datu subjektu rada tiesiskās sekas vai kas līdzīgā veidā ievērojami ietekmē datu subjektu.

43

Šīs tiesību normas piemērojamība tātad ir pakļauta trim kumulatīviem nosacījumiem, proti, pirmkārt, ir jābūt “lēmumam”, otrkārt, šim lēmumam ir jābūt tādam, “kura pamatā ir tikai automatizēta apstrāde, tostarp profilēšana”, un, treškārt, tam “attiecībā uz datu subjektu [jārada] tiesiskās sekas” vai šis datu subjekts “līdzīgā veidā ievērojami [jā]ietekmē”.

44

Pirmkārt, attiecībā uz nosacījumu par lēmuma esamību jānorāda, ka jēdziens “lēmums” VDAR 22. panta 1. punkta izpratnē šajā regulā nav definēts. Tomēr no paša šīs tiesību normas formulējuma izriet, ka šis jēdziens attiecas ne tikai uz aktiem, kas rada tiesiskas sekas attiecībā uz konkrēto personu, bet arī uz aktiem, kas to būtiski ietekmē līdzīgā veidā.

45

Jēdziena “lēmums” plašo tvērumu apstiprina VDAR 71. apsvērums, saskaņā ar kuru noteiktu kādas personas personisko aspektu izvērtēšanu ietverošā lēmumā – par kura priekšmetu šai personai vajadzētu būt tiesībām nebūt – “var būt ietverts pasākums”, kas nu rada “juridiskas sekas attiecībā uz [šo] datu subjektu” vai to “līdzīgā veidā ievērojami ietekmē”. Šajā apsvērumā ir teikts, ka termins “lēmums” aptver, piemēram, tiešsaistē iesniegta kredītpieteikuma automātisku noraidījumu vai elektronisku darbā pieņemšanas praksi bez cilvēka līdzdalības.

46

Ņemot vērā, ka jēdziens “lēmums” VDAR 22. panta 1. punkta izpratnē – kā secinājumu 38. punktā norāda ģenerāladvokāts – var ietvert vairākus aktus, kas var skart datu subjektu vairākos veidos, šis jēdziens ir pietiekami plašs, lai ietvertu personas kredītspējas aprēķina rezultātu, kas izteikts kā varbūtības vērtība attiecībā uz šīs personas spēju pildīt maksājumu saistības nākotnē.

47

Otrkārt, attiecībā uz nosacījumu, ka lēmumam šā 22. panta 1. punkta izpratnē jābūt tādam, “kura pamatā ir tikai automatizēta apstrāde, tostarp profilēšana” – kā secinājumu 33. punktā norāda ģenerāladvokāts –, nav strīda par to, ka SCHUFA darbība atbilst VDAR 4. panta 4. punktā rodamajai “profilēšanas” definīcijai un tādējādi šis nosacījums šajā gadījumā ir izpildīts, jo pirmā prejudiciālā jautājuma formulējumā turklāt ir skaidri norādīts, ka automatizēti tiek iegūta varbūtības vērtība, kas balstīta uz kādas personas datiem un attiecas uz tās spēju nākotnē pildīt no aizdevuma izrietošas saistības.

48

Treškārt, attiecībā uz nosacījumu, ka lēmumam ir jārada “tiesiskās sekas” attiecībā uz konkrēto personu vai tā “līdzīgā veidā ievērojami [jā]ietekmē”, no paša pirmā prejudiciālā jautājuma formulējuma izriet, ka trešā persona, kurai tiek nodota varbūtības vērtība, šai vērtībai piešķir “izšķirošu nozīmi”. Tādējādi saskaņā ar iesniedzējtiesas faktu konstatējumiem gadījumā, ja patērētājs lūdz aizdevumu bankai, nepietiekama varbūtības vērtība gandrīz visos gadījumos izraisa bankas atteikumu piešķirt lūgto aizdevumu.

49

Šajos apstākļos jāuzskata, ka ir izpildīts arī trešais nosacījums, no kura ir atkarīga VDAR 22. panta 1. punkta piemērojamība, jo tāda varbūtības vērtība kā pamatlietā aplūkotā vismaz būtiski ietekmē datu subjektu.

50

No tā izriet, ka tādos apstākļos kā pamatlietā aplūkotie, kad varbūtības vērtībai, ko ieguvis kredītinformācijas birojs un kura tiek paziņota bankai, ir izšķiroša nozīme kredīta piešķiršanā, šīs vērtības iegūšana pati par sevi ir kvalificējama kā lēmums, kas datu subjektam rada “tiesiskās sekas vai [to] līdzīgā veidā ievērojami ietekmē” VDAR 22. panta 1. punkta izpratnē.

51

Apstiprinājums šai interpretācijai ir rodams arī VDAR 22. panta 1. punkta kontekstā, kā arī šīs regulas mērķos un nolūkā.

52

Šajā ziņā jāteic – kā secinājumu 31. punktā norāda ģenerāladvokāts –, ka VDAR 22. panta 1. punktā datu subjektam ir piešķirtas “tiesības” nebūt tāda lēmuma subjektam, kura pamatā ir tikai automatizēta apstrāde, tostarp profilēšana. Šī tiesību norma noteic principiālu aizliegumu, uz kura neievērošanu šādai personai nav individuāli jānorāda.

53

Proti, kā izriet no VDAR 22. panta 2. punkta, lasot to kopsakarā ar šīs regulas 71. apsvērumu, lēmuma pieņemšana, pamatojoties tikai uz automatizētu apstrādi, ir atļauta tikai šajā 22. panta 2. punktā minētajos gadījumos, proti, ja šāds lēmums ir nepieciešams, lai noslēgtu vai izpildītu līgumu starp datu subjektu un pārzini (a) apakšpunkts), ja tas ir atļauts saskaņā ar Savienības vai dalībvalsts tiesību aktiem, kuri ir piemērojami pārzinim (b) apakšpunkts), vai ja tas ir pamatots ar datu subjekta nepārprotamu piekrišanu (c) apakšpunkts).

54

Turklāt VDAR 22. panta 2. punkta b) apakšpunkts un 3. punkts noteic, ka ir jāparedz atbilstīgi pasākumi datu subjekta tiesību un brīvību, kā arī leģitīmo interešu aizsardzībai. Šīs regulas 22. panta 2. punkta a) un c) apakšpunktā minētajos gadījumos pārzinis ļauj īstenot vismaz datu subjekta tiesības panākt cilvēka līdzdalību, paust savu viedokli un apstrīdēt lēmumu.

55

Turklāt VDAR 22. panta 4. punkts noteic, ka uz īpašām personas datu kategorijām, kas minētas šīs regulas 9. panta 1. punktā, automatizēti individuāli lēmumi šā 22. panta izpratnē var tikt balstīti tikai atsevišķos īpašos gadījumos.

56

Piedevām tādas automatizētas lēmuma pieņemšanas gadījumā kā VDAR 22. panta 1. punktā minētā, pirmkārt, pārzinim ir papildu informēšanas pienākumi saskaņā ar šīs regulas 13. panta 2. punkta f) apakšpunktu, kā arī 14. panta 2. punkta g) apakšpunktu. Otrkārt, datu subjektam saskaņā ar minētās regulas 15. panta 1. punkta h) apakšpunktu ir tiesības no pārziņa saņemt tostarp “jēgpiln[u] informācij[u] par tajā ietverto loģiku, kā arī šādas apstrādes nozīmīgumu un paredzamajām sekām attiecībā uz datu subjektu”.

57

Šīs stingrākās prasības attiecībā uz automatizētas lēmuma pieņemšanas likumīgumu, kā arī pārzinim esošos papildu informēšanas pienākumus un ar tiem saistītās datu subjekta papildu piekļuves tiesības ir izskaidrojamas ar VDAR 22. panta mērķi aizsargāt personas pret īpašajiem riskiem, ko automatizēta personas datu apstrāde, tostarp profilēšana, rada attiecībā uz viņu tiesībām un brīvībām.

58

Proti, šī apstrāde, kā izriet no VDAR 71. apsvēruma, ietver ar šo apstrādi skartās fiziskās personas personisko aspektu izvērtēšanu, jo īpaši, lai analizētu vai prognozētu aspektus saistībā ar datu subjekta sniegumu darbā, ekonomisko situāciju, veselību, personīgām vēlmēm vai interesēm, uzticamību vai uzvedību, atrašanās vietu vai pārvietošanos.

59

Šajā apsvērumā ir teikts, ka šie īpašie riski var ietekmēt datu subjekta leģitīmās intereses un tiesības, tostarp ņemot vērā iespējamo diskriminējošo ietekmi uz fiziskām personām dēļ to rases vai etniskās izcelsmes, politiskajiem uzskatiem, reliģiskās vai ticības piederības, dalības arodbiedrībā, ģenētiskā vai veselības stāvokļa vai dzimumorientācijas. Tāpēc saskaņā ar minēto apsvērumu ir svarīgi nodrošināt atbilstošas garantijas un taisnīgu un pārredzamu attieksmi pret datu subjektu, jo īpaši izmantojot piemērotas matemātiskās vai statistikas procedūras profilēšanai un veicot atbilstīgus tehniskus un organizatoriskus pasākumus, lai nodrošinātu, ka kļūdu rašanās risks ir samazināts līdz minimumam.

60

Savukārt šā sprieduma 42.–50. punktā izklāstītā interpretācija un it īpaši jēdziena “lēmums” plašais tvērums VDAR 22. panta 1. punkta izpratnē pastiprina šajā tiesību normā paredzēto efektīvo aizsardzību.

61

Turpretim tādos apstākļos kā pamatlietā aplūkotie, kuros ir iesaistīti trīs subjekti, pastāvētu VDAR 22. panta apiešanas risks un līdz ar to – robs tiesiskajā aizsardzībā, ja tiktu apstiprināta šīs tiesību normas šaura interpretācija, saskaņā ar kuru varbūtības vērtības iegūšana jāuzskata tikai par sagatavojošu aktu un tikai trešās personas pieņemts akts attiecīgā gadījumā var tikt kvalificēts kā “lēmums” šīs regulas 22. panta 1. punkta izpratnē.

62

Proti, šajā gadījumā uz tādas varbūtības vērtības iegūšanu, kāda ir aplūkota pamatlietā, neattiektos VDAR 22. panta 2.–4. punktā paredzētās īpašās prasības, lai gan šī procedūra ir balstīta uz automatizētu apstrādi un rada sekas, kas būtiski ietekmē datu subjektu, jo trešās personas, kurai tiek nodota šī varbūtības vērtība, šai vērtībai piešķir izšķirošu nozīmi.

63

Turklāt – kā secinājumu 48. punktā norāda ģenerāladvokāts –, pirmkārt, datu subjekts nevarētu attiecībā pret varbūtības vērtību iegūstošo kredītinformācijas biroju atsaukties uz savām tiesībām piekļūt VDAR 15. panta 1. punkta h) apakšpunktā minētajai specifiskajai informācijai, ja šis uzņēmums nav pieņēmis automatizētu lēmumu. Otrkārt, pat pieņemot, ka trešās personas veiktā darbība ietilpst šīs regulas 22. panta 1. punkta piemērošanas jomā, jo atbilst šīs tiesību normas piemērojamības nosacījumiem, šī trešā persona nespētu sniegt šo specifisko informāciju tāpēc, ka tās rīcībā šīs informācijas parasti nav.

64

No apstākļa, ka tādas varbūtības vērtības kā pamatlietā aplūkotā iegūšana ietilpst VDAR 22. panta 1. punkta piemērošanas jomā, izriet, ka šī iegūšana – kā norādīts šā sprieduma 53.–55. punktā – ir aizliegta, ja vien nav piemērojams kāds no šīs regulas 22. panta 2. punktā minētajiem izņēmumiem un ir ievērotas minētās regulas 22. panta 3. un 4. punktā paredzētās īpašās prasības.

65

Konkrētāk, runājot par VDAR 22. panta 2. punkta b) apakšpunktu, uz kuru atsaucas iesniedzējtiesa, jāteic, ka no paša šīs tiesību normas formulējuma izriet, ka valsts tiesību aktos, kuros ir atļauts pieņemt automatizētu individuālu lēmumu, ir jānosaka atbilstīgi pasākumi datu subjekta tiesību un brīvību, kā arī leģitīmo interešu aizsardzībai.

66

Ņemot vērā VDAR 71. apsvērumu, šādiem pasākumiem jo īpaši būtu jāietver pārziņa pienākums izmantot piemērotas matemātiskās vai statistikas procedūras, veikt atbilstīgus tehniskus un organizatoriskus pasākumus, lai nodrošinātu, ka līdz minimumam tiek samazināts kļūdu rašanās risks un kļūdas tiek labotas, kā arī garantēt personas datu drošību tādā veidā, lai ņemtu vērā iespējamos riskus attiecībā uz datu subjekta interesēm un tiesībām, un citastarp novērst šā subjekta diskrimināciju. Šie pasākumi ietver vismaz datu subjekta tiesības panākt cilvēka līdzdalību no pārziņa puses, paust savu viedokli un apstrīdēt attiecībā uz viņu pieņemto lēmumu.

67

Vēl jānorāda, ka saskaņā ar Tiesas pastāvīgo judikatūru ikvienai personas datu apstrādei ir jābūt gan atbilstīgai datu apstrādes principiem, kas noteikti VDAR 5. pantā, gan – ņemot vērā it īpaši šā panta 1. punkta a) apakšpunktā paredzēto apstrādes likumīguma principu – jāatbilst vienam no šīs regulas 6. pantā uzskaitītajiem apstrādes likumīguma nosacījumiem (spriedums, 2022. gada 20. oktobris, Digi, C‑77/21, EU:C:2022:805, 49. punkts un tajā minētā judikatūra). Saskaņā ar minētās regulas 5. panta 2. punktā noteikto pārskatatbildības principu pārzinim ir jāspēj pierādīt, ka šie principi tiek ievēroti (šajā ziņā skat. spriedumu, 2022. gada 20. oktobris, Digi, C‑77/21, EU:C:2022:805, 24. punkts).

68

Tādējādi gadījumā, ja dalībvalsts tiesību aktos saskaņā ar VDAR 22. panta 2. punkta b) apakšpunktu ir atļauts pieņemt lēmumu, pamatojoties tikai uz automatizētu apstrādi, šai apstrādei ir jāatbilst ne tikai šajā nupat minētajā tiesību normā un šīs regulas 22. panta 4. punktā paredzētajiem nosacījumiem, bet arī šīs pašas regulas 5. un 6. pantā noteiktajām prasībām. Tāpēc dalībvalstis saskaņā ar VDAR 22. panta 2. punkta b) apakšpunktu nedrīkst pieņemt tiesiskos regulējumus, kas atļauj profilēšanu, neievērojot šajā 5. un 6. pantā noteiktās prasības, kā tās ir interpretētas Tiesas judikatūrā.

69

Konkrēti par VDAR 6. panta 1. punkta a), b) un f) apakšpunktā paredzētajiem likumīguma nosacījumiem, kas var būt piemērojami tādā gadījumā kā pamatlietā aplūkotais, jāteic, ka dalībvalstis nav tiesīgas paredzēt papildu noteikumus šo nosacījumu piemērošanai, jo šāda iespēja saskaņā ar šīs regulas 6. panta 3. punktu ir paredzēta tikai attiecībā uz minētās regulas 6. panta 1. punkta c) un e) apakšpunktā minētajiem pamatiem.

70

Turklāt, konkrētāk runājot par VDAR 6. panta 1. punkta f) apakšpunktu, jāteic, ka dalībvalstis, pamatojoties uz šīs regulas 22. panta 2. punkta b) apakšpunktu, nedrīkst atkāpties no Tiesas judikatūrā, kas izriet no 2023. gada 7. decembra sprieduma SCHUFA Holding (Atbrīvošana no atlikušajām parādsaistībām) (C‑26/22 un C‑64/22, EU:C:2023:XXX), noteiktajām prasībām, tostarp galīgi iepriekš paredzot attiecīgo tiesību un interešu samērošanas rezultātu (šajā ziņā skat. spriedumu, 2016. gada 19. oktobris, Breyer, C‑582/14, EU:C:2016:779, 62. punkts).

71

Šajā gadījumā iesniedzējtiesa norāda, ka vienīgais valsts tiesību aktos paredzētais juridiskais pamats VDAR 22. panta 2. punkta b) apakšpunkta izpratnē varētu būt BDSG 31. pants. Taču tai ir nopietnas šaubas par šā 31. panta saderīgumu ar Savienības tiesībām. Ja šī tiesību norma tiktu atzīta par nesaderīgu ar Savienības tiesībām, SCHUFA ne tikai rīkotos bez juridiska pamata, bet arī ipso iure pārkāptu VDAR 22. panta 1. punktā noteikto aizliegumu.

72

Šajā ziņā iesniedzējtiesai ir jāpārbauda, vai BDSG 31. pants ir kvalificējams kā juridiskais pamats, kas atbilstoši VDAR 22. panta 2. punkta b) apakšpunktam ļauj pieņemt lēmumu, kura pamatā ir tikai automatizēta apstrāde. Ja šī tiesa nonāktu pie secinājuma, ka minētais 31. pants ir šāds juridiskais pamats, tai vēl būtu jāpārbauda, vai šajā gadījumā ir izpildīti VDAR 22. panta 2. punkta b) apakšpunktā un 4. punktā un šīs regulas 5. un 6. pantā paredzētie nosacījumi.

73

Ņemot vērā visus iepriekš izklāstītos apsvērumus, uz pirmo jautājumu ir atbildams, ka VDAR 22. panta 1. punkts ir jāinterpretē tādējādi, ka tas, ka kredītinformācijas birojs, pamatojoties uz kādas personas datiem, automatizēti iegūst varbūtības vērtību par tās spēju nākotnē izpildīt maksājumu saistības, ir uzskatāms par “automatizētu individuālu lēmumu” šīs tiesību normas izpratnē, ja no šīs varbūtības vērtības ir izšķiroši atkarīgs tas, vai trešā persona, kurai šī varbūtības vērtība ir paziņota, izveidos, izpildīs vai izbeigs līgumattiecības ar šo personu.

74

Ņemot vērā uz pirmo jautājumu sniegto atbildi, uz otro jautājumu nav jāatbild.

75

Attiecībā uz pamatlietas pusēm šī tiesvedība izriet no tiesvedības, kas notiek iesniedzējtiesā, tāpēc tā lemj par tiesāšanās izdevumiem. Izdevumi, kas radušies, iesniedzot apsvērumus Tiesai, un kas nav minēto pušu izdevumi, nav atlīdzināmi.

Ar šādu pamatojumu Tiesa (pirmā palāta) nospriež:

Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) 22. panta 1. punkts

ir jāinterpretē tādējādi, ka

tas, ka kredītinformācijas birojs, pamatojoties uz kādas personas datiem, automatizēti iegūst varbūtības vērtību par tās spēju nākotnē izpildīt maksājumu saistības, ir uzskatāms par “automatizētu individuālu lēmumu” šīs tiesību normas izpratnē, ja no šīs varbūtības vērtības ir izšķiroši atkarīgs tas, vai trešā persona, kurai šī varbūtības vērtība ir paziņota, izveidos, izpildīs vai izbeigs līgumattiecības ar šo personu.