Začasna izdaja

SODBA SODIŠČA (prvi senat)

z dne 7. decembra 2023(*)

„Predhodno odločanje – Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba (EU) 2016/679 – Člen 22 – Avtomatizirana posamezna odločitev – Agencije za kreditne informacije – Avtomatizirana izdelava verjetnostne ocene o sposobnosti osebe, da v prihodnje izpolni plačilne obveznosti (kreditno točkovanje) – Uporaba te verjetnostne ocene s strani tretjih oseb“

V zadevi C‑634/21,

katere predmet je predlog za sprejetje predhodne odločbe na podlagi člena 267 PDEU, ki ga je vložilo Verwaltungsgericht Wiesbaden (upravno sodišče v Wiesbadnu, Nemčija) z odločbo z dne 1. oktobra 2021, ki je na Sodišče prispela 15. oktobra 2021, v postopku

proti

Land Hessen,

ob udeležbi

SCHUFA Holding AG,

SODIŠČE (prvi senat),

v sestavi A. Arabadjiev, predsednik, T. von Danwitz, P. G. Xuereb, A. Kumin (poročevalec), sodniki, in I. Ziemele, sodnica,

generalni pravobranilec: P. Pikamäe,

sodni tajnik: C. Di Bella, administrator,

na podlagi pisnega postopka in obravnave z dne 26. januarja 2023,

ob upoštevanju stališč, ki so jih predložili:

za OQ U. Schmidt, Rechtsanwalt,

– za Land Hessen M. Kottmann in G. Ziegenhorn, Rechtsanwälte,

– za SCHUFA Holding AG G. Thüsing in U. Wuermeling, Rechtsanwalt,

– za nemško vlado P.-L. Krüger, agent,

– za dansko vlado V. Pasternak Jørgensen, M. Søndahl Wolff in Y. Thyregod Kollberg, agentke,

– za portugalsko vlado P. Barros da Costa, I. Oliveira, M. J. Ramos in C. Vieira Guerra, agentke,

– za finsko vlado M. Pere, agentka,

– za Evropsko komisijo A. Bouchagiar, F. Erlbacher in H. Kranenborg, agenti,

po predstavitvi sklepnih predlogov generalnega pravobranilca na obravnavi 16. marca 2023

izreka naslednjo

Sodbo

1 Predlog za sprejetje predhodne odločbe se nanaša na razlago člena 6(1) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, in popravek v UL 2018, L 127, str. 2, v nadaljevanju: SUVP).

2 Ta predlog je bil vložen v okviru spora med OQ in Land Hessen (zvezna dežela Hessen, Nemčija) v zvezi z zavrnitvijo Hessischer Beauftragter für Datenschutz und Informationsfreiheit (pooblaščenec za varstvo podatkov in svobodo obveščanja zvezne dežele Hessen, Nemčija) (v nadaljevanju: HBDI), da bi družbi SCHUFA Holding AG (v nadaljevanju: SCHUFA) naložil, naj ugodi zahtevi OQ za dostop do osebnih podatkov, ki se nanašajo nanjo, in njihov izbris.

Pravni okvir

Pravo Unije

3 V uvodni izjavi 71 SUVP je navedeno:

„Posameznik, na katerega se nanašajo osebni podatki, bi moral imeti pravico, da zanj ne bi veljala odločitev, ki lahko vključuje ukrep, o ocenjevanju osebnih vidikov v zvezi z njim, ki temelji zgolj na avtomatizirani obdelavi in ima pravne učinke v zvezi z njim ali podobno znatno vpliva nanj, kot so avtomatska zavrnitev spletne prošnje za posojilo ali prakse zaposlovanja prek spleta brez človekovega posredovanja. Taka obdelava vključuje ‚oblikovanje profilov‘ v kakršni koli obliki avtomatizirane obdelave osebnih podatkov, na podlagi katerih se ocenjujejo osebni vidiki v zvezi s posameznikom, na katerega se nanašajo osebni podatki, zlasti za analizo ali predvidevanje uspešnosti pri delu, ekonomskega položaja, zdravja, osebnega okusa ali interesov, zanesljivosti ali vedenja, lokacije ali gibanja, kadar ustvarja pravne učinke v zvezi z njim ali nanj podobno znatno vpliva. Sprejemanje odločitev na podlagi take obdelave, vključno z oblikovanjem profilov, pa bi moralo biti dovoljeno, kadar ga izrecno dovoljuje pravo Unije ali pravo države članice, ki velja za upravljavca, tudi za namene spremljanja in preprečevanja zlorab in davčnih utaj v skladu s predpisi, standardi in priporočili institucij [Evropske u]nije ali nacionalnih nadzornih teles ter zagotavljanje varnosti in zanesljivosti storitve, ki jo zagotavlja upravljavec, ali kadar je to nujno za sklepanje ali izvajanje pogodbe med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem, ali kadar je posameznik, na katerega se nanašajo osebni podatki, v to izrecno privolil. V vsakem primeru bi morali za tako obdelavo veljati ustrezni zaščitni ukrepi, ki bi morali vključevati konkretno seznanitev posameznika, na katerega se nanašajo osebni podatki, in pravico do osebnega posredovanja, pravico izraziti svoje stališče, pravico dobiti pojasnilo o odločitvi, ki je bila sprejeta po takem ocenjevanju, in pravico do izpodbijanja odločitve. Taki ukrepi ne bi smeli zadevati otroka.

Da bi upravljavec ob upoštevanju posebnih okoliščin in okvira, v katerih se osebni podatki obdelujejo, zagotovil pošteno in pregledno obdelavo osebnih podatkov za posameznika, na katerega se osebni podatki nanašajo, bi moral uporabiti ustrezne matematične ali statistične postopke za oblikovanje profilov, izvajati tehnične in organizacijske ukrepe, s katerimi bi na ustrezen način zagotovil zlasti, da se dejavniki, ki povzročijo netočnost osebnih podatkov, popravijo in tveganje napak čim bolj zmanjša, zavarovati osebne podatke tako, da se upoštevajo morebitne nevarnosti, povezane z interesi in pravicami posameznika, na katerega se nanašajo osebni podatki, ter preprečiti, med drugim, diskriminatorne posledice za posameznike na podlagi rasnega ali etničnega porekla, političnega mnenja, vere ali prepričanja, članstva v sindikatu, genetskega ali zdravstvenega stanja, spolne usmerjenosti, ali obdelavo, ki privede do ukrepov, ki imajo takšne posledice.“

4 Člen 4 te uredbe, naslovljen „Opredelitev pojmov“, določa:

„V tej uredbi:

[…]

(4) ,oblikovanje profilov‘ pomeni vsako obliko avtomatizirane obdelave osebnih podatkov, ki vključuje uporabo osebnih podatkov za ocenjevanje nekaterih osebnih vidikov v zvezi s posameznikom, zlasti za analizo ali predvidevanje uspešnosti pri delu, ekonomskega položaja, zdravja, osebnega okusa, interesov, zanesljivosti, vedenja, lokacije ali gibanja tega posameznika;

[…].“

5 Člen 5 navedene uredbe, naslovljen „Načela v zvezi z obdelavo osebnih podatkov“, določa:

„1. Osebni podatki morajo biti:

(a) obdelani zakonito, pošteno in na pregleden način v zvezi s posameznikom, na katerega se nanašajo osebni podatki (‚zakonitost, poštenost in preglednost‘);

(b) zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni; […] (,omejitev namena‘);

(c) ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (,najmanjši obseg podatkov‘);

(d) točni in, kadar je to potrebno, posodobljeni; […] (,točnost‘);

(e) hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo; […] (,omejitev shranjevanja‘);

(f) obdelani na način, ki zagotavlja ustrezno varnost osebnih podatkov […] (,celovitost in zaupnost‘).

2. Upravljavec je odgovoren za skladnost z odstavkom 1 in je to skladnost tudi zmožen dokazati (‚odgovornost‘).“

6 Člen 6 SUVP, naslovljen „Zakonitost obdelave“, v odstavkih 1 in 3 določa:

„1. Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

[…]

3. Podlaga za obdelavo iz točk (c) in (e) odstavka 1 je določena v skladu s:

(a) pravom Unije; ali

(b) pravom države članice, ki velja za upravljavca.

Namen obdelave se določi v navedeni pravni podlagi ali pa je v primeru obdelave iz točke (e) odstavka 1 potreben za opravljanje naloge, ki se izvaja v javnem interesu, ali pri izvajanju javne oblasti, dodeljene upravljavcu. […]“

7 Člen 9 te uredbe, naslovljen „Obdelava posebnih vrst osebnih podatkov“, določa:

„1. Prepovedani sta obdelava osebnih podatkov, ki razkrivajo rasno ali etnično poreklo, politično mnenje, versko ali filozofsko prepričanje ali članstvo v sindikatu, in obdelava genskih podatkov, biometričnih podatkov za namene edinstvene identifikacije posameznika, podatkov v zvezi z zdravjem ali podatkov v zvezi s posameznikovim spolnim življenjem ali spolno usmerjenostjo.

2. Odstavek 1 se ne uporablja, če velja eno od naslednjega:

(a) posameznik, na katerega se nanašajo osebni podatki, je dal izrecno privolitev v obdelavo navedenih osebnih podatkov za enega ali več določenih namenov, razen kadar pravo Unije ali pravo države članice določa, da posameznik, na katerega se nanašajo osebni podatki, ne sme odstopiti od prepovedi iz odstavka 1;

[…]

(g) obdelava je potrebna iz razlogov bistvenega javnega interesa na podlagi prava Unije ali prava države članice, ki je sorazmerno z zastavljenim ciljem, spoštuje bistvo pravice do varstva podatkov ter zagotavlja ustrezne in posebne ukrepe za zaščito temeljnih pravic in interesov posameznika, na katerega se nanašajo osebni podatki;

[…].“

8 Člen 13 navedene uredbe, naslovljen „Informacije, ki se zagotovijo, kadar se osebni podatki pridobijo od posameznika, na katerega se nanašajo osebni podatki“, v odstavku 2 določa:

„Poleg informacij iz odstavka 1 upravljavec takrat, ko pridobi osebne podatke, posamezniku, na katerega se ti nanašajo, zagotovi naslednje dodatne informacije, ki so potrebne za zagotovitev poštene in pregledne obdelave:

[…]

(f) obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22(1) in (4), ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.“

9 Člen 14 SUVP, naslovljen „Informacije, ki jih je treba zagotoviti, kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se ti nanašajo“, v odstavku 2 določa:

„Upravljavec poleg informacij iz odstavka 1 posamezniku, na katerega se nanašajo osebni podatki, zagotovi naslednje informacije, ki so potrebne za zagotavljanje poštene in pregledne obdelave v zvezi s posameznikom, na katerega se nanašajo osebni podatki:

[…]

(g) obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22(1) in (4), ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.“

10 Člen 15 te uredbe, naslovljen „Pravica dostopa posameznika, na katerega se nanašajo osebni podatki“, v odstavku 1 določa:

„Posameznik, na katerega se nanašajo osebni podatki, ima pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije:

[…]

(h) obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22(1) in (4), ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.“

11 Člen 22 navedene uredbe, naslovljen „Avtomatizirano sprejemanje posameznih odločitev, vključno z oblikovanjem profilov“, določa:

„1. Posameznik, na katerega se nanašajo osebni podatki, ima pravico, da zanj ne velja odločitev, ki temelji zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov, ki ima pravne učinke v zvezi z njim ali na podoben način nanj znatno vpliva.

2. Odstavek 1 se ne uporablja, če je odločitev:

(a) nujna za sklenitev ali izvajanje pogodbe med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem podatkov;

(b) dovoljena v pravu Unije ali pravu države članice, ki velja za upravljavca in določa tudi ustrezne ukrepe za zaščito pravic in svoboščin ter zakonitih interesov posameznika, na katerega se nanašajo osebni podatki, ali

3. V primerih, navedenih v točkah (a) in (c) odstavka 2, upravljavec podatkov izvede ustrezne ukrepe za zaščito pravic in svoboščin ter zakonitih interesov posameznika, na katerega se nanašajo osebni podatki, vsaj pravice do osebnega posredovanja upravljavca, do izražanja lastnega stališča in izpodbijanja odločitve.

4. Odločitve iz odstavka 2 ne temeljijo na posebnih vrstah osebnih podatkov iz člena 9(1), razen če se uporablja točka (a) ali (g) člena 9(2) in se izvajajo ustrezni ukrepi za zaščito pravic in svoboščin ter zakonitih interesov posameznika, na katerega se nanašajo osebni podatki.“

12 Člen 78 SUVP, naslovljen „Pravica do učinkovitega pravnega sredstva zoper nadzorni organ“, v odstavku 1 določa:

„Brez poseganja v katero koli drugo upravno ali izvensodno sredstvo ima vsaka fizična ali pravna oseba pravico do učinkovitega pravnega sredstva zoper pravno zavezujočo odločitev nadzornega organa v zvezi z njo.“

Nemško pravo

13 Člen 31 Bundesdatenschutzgesetz (zvezni zakon o varstvu podatkov) z dne 30. junija 2017 (BGBl. I, str. 2097, v nadaljevanju: BDSG), naslovljen „Varstvo gospodarskega prometa v primeru kreditnega točkovanja in bonitetnih informacij“, določa:

„(1) Uporaba verjetnostne ocene določenega prihodnjega vedenja fizične osebe za odločitev o vzpostavitvi, izvršitvi ali prenehanju pogodbenega razmerja s to osebo (kreditno točkovanje) je dovoljena le, če:

1. so bili spoštovani predpisi prava o varstvu podatkov,

2. so podatki, uporabljeni za izračun verjetnostne ocene na podlagi znanstveno priznane matematično-statistične metode, dokazljivo pomembni za izračun verjetnosti določenega vedenja,

3. za izračun verjetnostne ocene niso bili uporabljeni zgolj podatki o naslovih in

4. je v primeru uporabe podatkov o naslovih posameznik, na katerega se nanašajo osebni podatki, pred izračunom verjetnostne ocene poučen o uporabi teh podatkov; pouk mora biti dokumentiran.

(2) Uporaba verjetnostne ocene o plačilni sposobnosti fizične osebe in njeni pripravljenosti plačati, ki jo je ugotovila agencija za kreditne informacije, je v primeru vključitve informacij o terjatvah dovoljena le, če so izpolnjeni pogoji iz odstavka 1 in se v zvezi z dolgovano obveznostjo, ki kljub zapadlosti ni bila izpolnjena, upoštevajo le take terjatve,

1. ki so bile ugotovljene s pravnomočno ali začasno izvršljivo sodbo ali za katere obstaja izvršilni naslov iz člena 794 Zivilprozessordnung [(zakon o civilnem postopku)],

2. ki so bile ugotovljene na podlagi člena 178 Insolvenzordnung [(zakon o insolventnosti)] in jih dolžnik v roku za preizkus terjatev ni prerekal,

3. ki jih je dolžnik izrecno priznal,

4. pri katerih

(a) je dolžnik po nastopu zapadlosti terjatve prejel vsaj dva pisna opomina,

(b) so od prvega opomina pretekli vsaj štirje tedni,

(c) je bil dolžnik predhodno, vendar najpozneje ob prvem opominu poučen o možnosti, da agencija za kreditne informacije to upošteva in

(d) dolžnik terjatve ni prerekal ali

5. pri katerih je mogoče pogodbeno razmerje, na katerem temeljijo, zaradi zamud pri plačilu takoj odpovedati in pri katerih je bil dolžnik predhodno poučen o možnosti, da agencija za kreditne informacije to upošteva.

Navedeno ne vpliva na dopustnost obdelave, vključno z ugotavljanjem verjetnostnih ocen, drugih podatkov, ki so pomembni za boniteto, v skladu s splošnim pravom o varstvu podatkov.“

Spor o glavni stvari in vprašanji za predhodno odločanje

14 SCHUFA je zasebna družba nemškega prava, ki svojim pogodbenim partnerjem zagotavlja informacije o plačilni sposobnosti tretjih oseb, zlasti potrošnikov. V ta namen na podlagi določenih značilnosti osebe na podlagi matematično-statističnih postopkov predvidi verjetnost prihodnjega vedenja te osebe (kreditno točkovanje), kot na primer vračilo posojila. Izdelava vrednosti kreditnega točkovanja temelji na domnevi, da je mogoče z uvrstitvijo osebe v skupino drugih oseb s podobnimi značilnostmi, ki so se vedle na določen način, predvideti podobno vedenje.

15 Iz predloga za sprejetje predhodne odločbe je razvidno, da tretja oseba ni dala posojila OQ zatem, ko je družba SCHUFA glede nje podala negativne informacije in jih posredovala tej tretji osebi. OQ je od družbe SCHUFA zahtevala, naj ji posreduje informacije o zabeleženih osebnih podatkih in izbriše tiste informacije, ki naj bi bile napačne.

16 Družba SCHUFA je v odgovor na ta zahtevek OQ obvestila o ravni njenega kreditnega točkovanja in jo v grobem seznanila z delovanjem izračuna vrednosti kreditnega točkovanja. Vendar je s sklicevanjem na poslovno skrivnost zavrnila razkritje različnih informacij, ki so bile upoštevane pri tem izračunu, in način njihovega tehtanja. Nazadnje, družba SCHUFA je navedla, da ona le posreduje informacije svojim pogodbenim partnerjem in da so ti tisti, ki sprejemajo pogodbene odločitve v pravem pomenu besede.

17 OQ je s pritožbo, vloženo 18. oktobra 2018, od HBDI, pristojnega nadzornega organa, zahtevala, naj družbi SCHUFA naloži, naj ugodi njeni zahtevi za dostop do informacij in izbris.

18 HBDI je z odločbo z dne 3. junija 2020 ta predlog za izdajo odredbe zavrnil in pojasnil, da ni dokazano, da družba SCHUFA ne izpolnjuje zahtev iz člena 31 BDSG v zvezi z njeno dejavnostjo.

19 OQ je zoper to odločbo vložila tožbo na podlagi člena 78(1) SUVP pri Verwaltungsgericht Wiesbaden (upravno sodišče v Wiesbadnu, Nemčija), ki je predložitveno sodišče.

20 Po mnenju tega sodišča je treba za odločitev o sporu, ki ga obravnava, ugotoviti, ali izdelava verjetnostne ocene, kakršna je ta iz postopka v glavni stvari, pomeni avtomatizirano posamezno odločitev v smislu člena 22(1) SUVP. Namreč, če je odgovor pritrdilen, naj bi bila ta dejavnost v skladu s členom 22(2)(b) te uredbe zakonita pod pogojem, da je ta odločitev dovoljena v pravu Unije ali pravu države članice, ki velja za upravljavca.

21 V zvezi s tem predložitveno sodišče dvomi o stališču, da je mogoče šteti, da se člen 22(1) SUVP ne uporablja za dejavnost družb, kot je družba SCHUFA. Svoje dvome z dejanskega vidika utemeljuje s pomenom verjetnostne ocene, kakršna je ta iz postopka v glavni stvari, za prakso odločanja tretjih oseb, ki jim je ta verjetnostna ocena posredovana, s pravnega vidika pa predvsem s cilji, ki jim sledi ta člen 22(1), in s pravnim varstvom, ki je zajamčeno s SUVP.

22 Natančneje, predložitveno sodišče poudarja, da o tem, ali in kako bo tretja oseba sklenila pogodbeno razmerje s posameznikom, na katerega se nanašajo osebni podatki, odloča verjetnostna ocena. Namen člena 22 SUVP pa naj bi bil prav zaščita oseb pred tveganji, povezanimi z odločitvami, ki temeljijo zgolj na avtomatizaciji.

23 Če pa bi bilo treba člen 22(1) SUVP razlagati tako, da je mogoče v položaju, kakršen je ta iz postopka v glavni stvari, lastnost „avtomatizirane posamezne odločitve“ priznati le odločitvi tretje osebe v zvezi s posameznikom, na katerega se nanašajo osebni podatki, bi nastala pravna praznina v pravnem varstvu. Na eni strani naj namreč družbi, kot je družba SCHUFA, ne bi bilo treba omogočiti dostopa do dodatnih informacij, do katerih je posameznik, na katerega se nanašajo osebni podatki, upravičen na podlagi člena 15(1)(h) te uredbe, saj naj ta družba ne bi bila tista, ki sprejme „avtomatizirano odločitev“ v smislu te določbe in posledično v smislu člena 22(1) navedene uredbe. Na drugi strani naj tretja oseba, ki se ji sporoči verjetnostna ocena, ne bi mogla priskrbeti teh dodatnih informacij, ker ne razpolaga z njimi.

24 Tako naj bi bilo po mnenju predložitvenega sodišča za preprečitev take pravne praznine v pravnem varstvu nujno, da izdelava verjetnostne ocene, kakršna je ta iz postopka v glavni stvari, spada na področje uporabe člena 22(1) SUVP.

25 Če bi bilo treba sprejeti tako razlago, bi bila zakonitost te dejavnosti odvisna od obstoja pravne podlage na ravni zadevne države članice v skladu s členom 22(2)(b) te uredbe. Čeprav je v obravnavanem primeru res, da bi člen 31 BDSG lahko bil taka pravna podlaga v Nemčiji, pa naj bi obstajali resni dvomi o združljivosti te določbe s členom 22 SUVP, saj naj bi nemški zakonodajalec urejal le „uporabo“ verjetnostne ocene, kakršna je ta iz postopka v glavni stvari, ne pa tudi same izdelave verjetnostne ocene.

26 Nasprotno pa, če izdelava take verjetnostne ocene ne pomeni avtomatizirane posamezne odločitve v smislu člena 22 SUVP, se za nacionalne ureditve v zvezi s to dejavnostjo ne bi uporabljala niti pomensko odprta določba iz odstavka 2(b) tega člena 22. Ob upoštevanju tega, da je SUVP načeloma izčrpna in da za take nacionalne ureditve ne obstaja druga zakonodajna pristojnost, se zdi, da nemški zakonodajalec s tem, da izdelavo verjetnostne ocene veže na nadaljnje vsebinske pogoje dopustnosti, podrobneje določa področje urejanja prek zahtev iz členov 6 in 22 SUVP, ne da bi imel za to zakonodajno pristojnost. Če bi bilo to stališče pravilno, bi to spremenilo polje preizkusa nacionalnega nadzornega organa, ki bi potem moral preučiti skladnost dejavnosti agencij za kreditne informacije s členom 6 te uredbe.

27 V teh okoliščinah je Verwaltungsgericht Wiesbaden (upravno sodišče v Wiesbadnu) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ti vprašanji:

„1. Ali je treba člen 22(1) [SUVP] razlagati tako, da že avtomatizirana izdelava verjetnostne ocene o sposobnosti posameznika, na katerega se nanašajo osebni podatki, da v prihodnje odplačuje kredit, pomeni odločitev – ki temelji izključno na avtomatizirani obdelavi, vključno z oblikovanjem profilov – ki ima pravne učinke v razmerju do posameznika, na katerega se nanašajo osebni podatki, ali podobno znatno vpliva nanj, če upravljavec vrednost, ki je bila ugotovljena na podlagi osebnih podatkov posameznika, na katerega se nanašajo osebni podatki, posreduje tretjemu upravljavcu in odločitev te tretje osebe o vzpostavitvi, izvršitvi ali prenehanju pogodbenega razmerja s to osebo v bistvenem temelji na tej vrednosti?

2. Če je odgovor na prvo vprašanje za predhodno odločanje nikalen:

Ali je treba člen 6(1) in člen 22 [SUVP] razlagati tako, da nasprotujeta nacionalni ureditvi, v skladu s katero je uporaba verjetnostne ocene – v tem primeru o plačilni sposobnosti fizične osebe in njeni pripravljenosti plačevati ob upoštevanju informacij o terjatvah – o določenem prihodnjem vedenju fizične osebe za odločitev o vzpostavitvi, izvršitvi ali prenehanju pogodbenega razmerja s to osebo (kreditno točkovanje) dopustna le, če so izpolnjeni določeni nadaljnji pogoji, ki so podrobneje navedeni v obrazložitvi predloga za sprejetje predhodne odločbe?“

Dopustnost predloga za sprejetje predhodne odločbe

28 Družba SCHUFA izpodbija dopustnost predloga za sprejetje predhodne odločbe, pri čemer trdi, na prvem mestu, da predložitveno sodišče ni pozvano k nadzoru nad vsebino odločitve o pritožbi, ki jo je sprejel nadzorni organ, kot je HBDI, ker je pravno sredstvo zoper tako odločbo, določeno v členu 78(1) SUVP, namenjeno le nadzoru, ali je ta organ spoštoval obveznosti, ki jih ima na podlagi te uredbe, zlasti glede obravnavanja pritožb, pri čemer ima navedeni organ diskrecijsko pravico pri odločanju, ali in kako mora ukrepati.

29 Na drugem mestu, družba SCHUFA trdi, da predložitveno sodišče ni navedlo natančnih razlogov, iz katerih naj bi bili postavljeni vprašanji odločilni za rešitev spora o glavni stvari. Predmet tega spora naj bi bila zahteva za informacije o konkretnem kreditnem točkovanju in izbris tega kreditnega točkovanja. V obravnavanem primeru pa naj bi družba SCHUFA dovolj spoštovala svojo obveznost obveščanja in naj bi že izbrisala kreditno točkovanje, ki je predmet postopka.

30 V zvezi s tem je treba opozoriti, da iz ustaljene sodne prakse Sodišča izhaja, da je samo nacionalno sodišče, ki odloča o sporu in ki mora prevzeti odgovornost za sodno odločbo, ki bo izdana, pristojno, da ob upoštevanju posebnosti zadeve presodi potrebo po predhodni odločbi, da bi lahko izdalo sodbo, in upoštevnost vprašanj, ki jih postavi Sodišču. Zato je Sodišče, kadar se predložena vprašanja nanašajo na razlago pravila prava Unije, načeloma dolžno odločiti (sodba z dne 12. januarja 2023, DOBELES HES, C‑702/20 in C‑17/21, EU:C:2023:1, točka 46 ter navedena sodna praksa).

31 Iz tega sledi, da za vprašanja, ki se nanašajo na pravo Unije, velja domneva upoštevnosti. Sodišče lahko zavrne odločanje o vprašanju nacionalnega sodišča za predhodno odločanje samo, če je očitno, da zahtevana razlaga pravila Unije nima nobene zveze z dejanskim stanjem ali predmetom spora o glavni stvari, če je problem hipotetičen ali če Sodišče nima na voljo dejanskih in pravnih elementov, ki so potrebni, da bi lahko na postavljena vprašanja podalo koristne odgovore (sodba z dne 12. januarja 2023, DOBELES HES, C‑702/20 in C‑17/21, EU:C:2023:1, točka 47 in navedena sodna praksa).

32 Na prvem mestu, v zvezi z razlogom za nedopustnost, ki se nanaša na domnevno omejen sodni nadzor nad odločitvami o pritožbi, ki jih sprejme nadzorni organ, je treba opozoriti, da ima v skladu s členom 78(1) SUVP brez poseganja v katero koli drugo upravno ali izvensodno sredstvo vsaka fizična ali pravna oseba pravico do učinkovitega pravnega sredstva zoper pravno zavezujočo odločitev nadzornega organa v zvezi z njo.

33 V obravnavanem primeru je odločba, ki jo je sprejel HBDI kot nadzorni organ, pravno zavezujoča odločitev v smislu tega člena 78(1). Ta organ je namreč po preučitvi utemeljenosti pritožbe, ki mu je bila predložena, o njej odločil in ugotovil, da je bila obdelava osebnih podatkov, ki jo tožeča stranka iz postopka v glavni stvari izpodbija, zakonita.

34 V zvezi z obsegom sodnega nadzora nad tako odločitvijo v okviru pravnega sredstva, vloženega na podlagi navedenega člena 78(1), zadostuje ugotovitev, da je odločitev o pritožbi, ki jo sprejme nadzorni organ, predmet celovitega sodnega nadzora (sodba z dne 7. decembra 2023, SCHUFA Holding in drugi (Odpis preostanka dolga), C‑26/22 in C‑64/22, EU:C:2023:XXX, točka 1 izreka).

35 Prvi razlog nedopustnosti, ki ga navaja družba SCHUFA, je zato treba zavrniti.

36 Na drugem mestu, iz predloga za sprejetje predhodne odločbe je jasno razvidno, da se predložitveno sodišče sprašuje o merilu nadzora, ki ga je treba uporabiti pri presoji obdelave osebnih podatkov iz postopka v glavni stvari z vidika SUVP, pri čemer je to merilo odvisno od tega, ali se člen 22(1) te uredbe uporablja ali ne.

37 Tako ni očitno, da razlaga SUVP, za katero je zaprosilo predložitveno sodišče, nima nobene zveze z dejanskim stanjem ali predmetom spora o glavni stvari niti da je problem hipotetičen. Poleg tega ima Sodišče na voljo dejanske in pravne elemente, ki so potrebni za to, da lahko koristno odgovori na postavljeni vprašanji.

38 Zato je treba tudi drugi razlog za nedopustnost, ki ga je navedla družba SCHUFA, zavrniti.

39 V teh okoliščinah je predlog za sprejetje predhodne odločbe dopusten.

Vprašanji za predhodno odločanje

Prvo vprašanje

40 Predložitveno sodišče s prvim vprašanjem v bistvu sprašuje, ali je treba člen 22(1) SUVP razlagati tako, da avtomatizirana izdelava verjetnostne ocene s strani agencije za kreditne informacije, ki temelji na osebnih podatkih v zvezi z osebo in se nanaša na njeno sposobnost, da v prihodnje izpolni plačilne obveznosti, pomeni „avtomatizirano posamezno odločitev“ v smislu te določbe, če je to, ali bo tretja stranka, ki ji je navedena verjetnostna ocena sporočena, s to osebo vzpostavila, izvršila ali prekinila pogodbeno razmerje, v bistvenem odvisno od te verjetnostne ocene.

41 Za odgovor na to vprašanje je treba najprej opozoriti, da je treba pri razlagi določbe prava Unije upoštevati ne le njeno besedilo, ampak tudi kontekst, v katerega je umeščena, ter cilje in namen, ki jim sledi akt, katerega del je (sodba z dne 22. junija 2023, Pankki S, C‑579/21, EU:C:2023:501, točka 38 in navedena sodna praksa).

42 Kar zadeva besedilo člena 22(1) SUVP, v skladu s to določbo ima posameznik, na katerega se nanašajo osebni podatki, pravico, da zanj ne velja odločitev, ki temelji zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov, ki ima pravne učinke v zvezi z njim ali na podoben način nanj znatno vpliva.

43 Za uporabo te določbe so torej določeni trije kumulativni pogoji, in sicer, prvič, da mora obstajati „odločitev“, drugič, da mora ta odločitev „temelji[ti] zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov“, in tretjič, da mora imeti „pravne učinke v zvezi z [zadevno osebo“ ali „na podoben način nanj[o] znatno“ vplivati.

44 Kar zadeva, prvič, pogoj v zvezi z obstojem odločitve, je treba poudariti, da pojem „odločitev“ v smislu člena 22(1) SUVP v tej uredbi ni opredeljen. Vendar je iz samega besedila te določbe razvidno, da se ta pojem ne nanaša le na akte, ki imajo pravne učinke v zvezi z zadevno osebo, ampak tudi na akte, ki na podoben način znatno vplivajo nanjo.

45 Širok obseg pojma „odločitev“ je potrjen z uvodno izjavo 71 SUVP, v kateri je navedeno, da lahko odločitev o ocenjevanju osebnih vidikov v zvezi s posameznikom, ki bi moral imeti pravico, da zanj ne bi veljala, „lahko vključuje ukrep“, ki bodisi „ima pravne učinke v zvezi z njim“ bodisi „podobno znatno vpliva nanj“. V skladu s to uvodno izjavo izraz „odločitev“ zajema na primer avtomatsko zavrnitev spletne prošnje za posojilo ali prakse zaposlovanja prek spleta brez človekovega posredovanja.

46 Ker lahko pojem „odločitev“ v smislu člena 22(1) SUVP, kot je generalni pravobranilec navedel v točki 38 sklepnih predlogov, vključuje več dejanj, ki lahko na posameznika, na katerega se nanašajo osebni podatki, različno vplivajo, je ta pojem dovolj širok, da zajema rezultat izračuna plačilne sposobnosti osebe v obliki verjetnostne ocene v zvezi z zmožnostjo te osebe, da v prihodnje izpolni plačilne obveznosti.

47 Drugič, v zvezi s pogojem, da mora odločitev v smislu tega člena 22(1) „temelji[ti] zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov“, kot je generalni pravobranilec navedel v točki 33 sklepnih predlogov, ni sporno, da dejavnost, kakršna je dejavnost družbe SCHUFA, ustreza opredelitvi „oblikovanja profilov“ iz člena 4, točka 4, SUVP in da je torej ta pogoj v obravnavanem primeru izpolnjen, saj se besedilo prvega vprašanja za predhodno odločanje poleg tega izrecno nanaša na avtomatizirano izdelavo verjetnostne ocene, ki temelji na osebnih podatkih v zvezi z osebo in se nanaša na njeno sposobnost, da v prihodnje izpolni plačilne obveznosti.

48 Tretjič, glede pogoja, da mora odločba imeti „pravne učinke“ v zvezi z zadevno osebo ali „na podoben način nanj[o] znatno“ vplivati, je iz samega prvega vprašanja za predhodno odločanje razvidno, da je ravnanje tretje osebe, ki se ji posreduje verjetnostna ocena, „v bistvenem odvisno“ od te ocene. Tako v skladu z dejanskimi ugotovitvami predložitvenega sodišča v primeru vloge za posojilo, ki jo potrošnik naslovi na banko, nezadostna verjetnostna ocena v skoraj vseh primerih povzroči, da ta banka zavrne odobritev zaprošenega posojila.

49 V teh okoliščinah je treba šteti, da je izpolnjen tudi tretji pogoj, od katerega je odvisna uporaba člena 22(1) SUVP, saj verjetnostna ocena, kakršna je ta iz postopka v glavni stvari, vsaj znatno vpliva na posameznika, na katerega se nanašajo osebni podatki.

50 Iz tega izhaja, da je treba v okoliščinah, kakršne so te iz postopka v glavni stvari, v katerih ima verjetnostna ocena, ki jo izdela agencija za kreditne informacije in je posredovana banki, odločilno vlogo pri odobritvi kredita, izdelavo te ocene samo po sebi opredeliti kot odločitev, ki ima za posameznika, na katerega se nanašajo osebni podatki, „pravne učinke v zvezi z njim ali na podoben način nanj znatno vpliva“ v smislu člena 22(1) SUVP.

51 Ta razlaga je potrjena s sobesedilom, v katero je umeščen člen 22(1) SUVP, ter cilji in namenom te uredbe.

52 V zvezi s tem je treba poudariti, da člen 22(1) SUVP, kot je generalni pravobranilec opozoril v točki 31 svojih sklepnih predlogov, posamezniku, na katerega se nanašajo osebni podatki, daje „pravico“, da zanj ne velja odločitev, ki temelji izključno na avtomatizirani obdelavi, vključno z oblikovanjem profilov. Ta določba določa načelno prepoved, na katero se takemu posamezniku ni treba individualno sklicevati.

53 Kot namreč izhaja iz člena 22(2) SUVP v povezavi z uvodno izjavo 71 te uredbe, je sprejetje odločitve, ki temelji izključno na avtomatizirani obdelavi, dovoljeno le v primerih iz tega člena 22(2), in sicer če je ta odločitev nujna za sklenitev ali izvajanje pogodbe med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem podatkov (točka (a)), če je dovoljena v pravu Unije ali pravu države članice, ki velja za upravljavca (točka (b)), ali če je utemeljena z izrecno privolitvijo posameznika, na katerega se nanašajo osebni podatki (točka (c)).

54 Poleg tega člen 22 SUVP v odstavku 2(b) in odstavku 3 določa, da je treba določiti ustrezne ukrepe za zaščito pravic in svoboščin ter zakonitih interesov posameznika, na katerega se nanašajo osebni podatki. V primerih iz člena 22(2)(a) in (c) te uredbe upravljavec izvede vsaj pravico posameznika, na katerega se nanašajo osebni podatki, do osebnega posredovanja, do izražanja lastnega stališča in do izpodbijanja odločitve.

55 Poleg tega lahko v skladu s členom 22(4) SUVP avtomatizirane posamezne odločitve v smislu tega člena 22 samo v nekaterih posebnih primerih temeljijo na posebnih vrstah osebnih podatkov iz člena 9(1) te uredbe.

56 Poleg tega v primeru avtomatiziranega sprejemanja odločitev, kot je to iz člena 22(1) SUVP, na eni strani za upravljavca veljajo dodatne obveznosti obveščanja na podlagi člena 13(2)(f) in člena 14(2)(g) te uredbe. Na drugi strani ima posameznik, na katerega se nanašajo osebni podatki, na podlagi člena 15(1)(h) navedene uredbe pravico, da od upravljavca pridobi med drugim „smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki“.

57 Te strožje zahteve glede zakonitosti avtomatiziranega sprejemanja odločitev ter dodatne obveznosti obveščanja upravljavca in dodatne pravice dostopa posameznika, na katerega se nanašajo osebni podatki, ki so s tem povezane, je mogoče pojasniti z namenom, ki mu sledi člen 22 SUVP, in sicer zaščito posameznikov pred posebnimi nevarnostmi za njihove pravice in svoboščine, ki jih pomeni avtomatizirana obdelava osebnih podatkov, vključno z oblikovanjem profilov.

58 Ta obdelava namreč, kot izhaja iz uvodne izjave 71 SUVP, vključuje oceno osebnih vidikov v zvezi s posameznikom, na katerega se nanaša ta obdelava, zlasti za analizo ali predvidevanje njegove uspešnosti pri delu, ekonomskega položaja, zdravja, osebnega okusa ali interesov, zanesljivosti ali vedenja, lokacije ali gibanja.

59 V skladu s to uvodno izjavo so lahko te posebne nevarnosti povezane z legitimnimi interesi in pravicami posameznika, na katerega se nanašajo osebni podatki, zlasti ob upoštevanju morebitnih diskriminatornih posledic za posameznike na podlagi rasnega ali etničnega porekla, političnega mnenja, vere ali prepričanja, članstva v sindikatu, genetskega ali zdravstvenega stanja ali spolne usmerjenosti. Zato je treba v skladu z navedeno uvodno izjavo zagotoviti pošteno in pregledno obdelavo osebnih podatkov za posameznika, na katerega se osebni podatki nanašajo, zlasti z uporabo ustreznih matematičnih ali statističnih postopkov za oblikovanje profilov ter z izvajanjem tehničnih in organizacijskih ukrepov, s katerimi bi na ustrezen način zagotovili, da se tveganje napak čim bolj zmanjša.

60 Razlaga, navedena v točkah od 42 do 50 te sodbe, in zlasti širok obseg pojma „odločitev“ v smislu člena 22(1) SUVP pa krepita učinkovito varstvo iz te določbe.

61 Nasprotno pa bi v okoliščinah, kakršne so te iz postopka v glavni stvari, v katere so vpleteni trije akterji, obstajalo tveganje obida členu 22 SUVP in zato pravna praznina v pravnem varstvu, če bi bila sprejeta ozka razlaga te določbe, v skladu s katero je treba izdelavo verjetnostne ocene šteti le za pripravljalni akt, in je le akt, ki ga sprejme tretja oseba, po potrebi mogoče opredeliti kot „odločitev“ v smislu člena 22(1) te uredbe.

62 V tem primeru namreč izdelava verjetnostne ocene, kakršna je ta iz postopka v glavni stvari, ne bi izpolnjevala posebnih zahtev iz člena 22, od (2) do (4), SUVP, čeprav ta postopek temelji na avtomatizirani obdelavi in ima učinke, ki znatno vplivajo na posameznika, na katerega se nanašajo osebni podatki, ker je ravnanje tretje osebe, ki se ji ta verjetnostna ocena posreduje, v bistvenem odvisno od te ocene.

63 Poleg tega, kot je generalni pravobranilec navedel v točki 48 sklepnih predlogov, na eni strani posameznik, na katerega se nanašajo osebni podatki, pri agenciji za kreditne informacije, ki izdela verjetnostno oceno v zvezi z njim, ne more uveljavljati svoje pravice do dostopa do posebnih informacij iz člena 15(1)(h) SUVP, če ta družba ne sprejme avtomatizirane odločitve. Na drugi strani, tudi če bi se domnevalo, da akt, ki ga sprejme tretja oseba, spada na področje uporabe člena 22(1) te uredbe, ker izpolnjuje pogoje za uporabo te določbe, ta tretja oseba ne bi mogla predložiti teh posebnih informacij, ker jih običajno nima.

64 Posledica dejstva, da je izdelava verjetnostne ocene, kakršna je ta iz postopka v glavni stvari, zajeta s členom 22(1) SUVP, je, kot je bilo navedeno v točkah od 53 do 55 te sodbe, da je ta izdelava prepovedana, razen če se uporabi ena od izjem iz člena 22(2) te uredbe in če so izpolnjene posebne zahteve iz člena 22(3) in (4) navedene uredbe.

65 Natančneje, v zvezi s členom 22(2)(b) SUVP, na katerega se sklicuje predložitveno sodišče, je treba navesti, da je iz te določbe razvidno, da mora nacionalno pravo, s katerim je dovoljeno sprejetje avtomatizirane posamezne odločitve, določati ustrezne ukrepe za zaščito pravic in svoboščin ter zakonitih interesov posameznika, na katerega se nanašajo osebni podatki.

66 Glede na uvodno izjavo 71 SUVP morajo taki ukrepi vključevati zlasti obveznost upravljavca, da uporablja ustrezne matematične ali statistične postopke, izvaja tehnične in organizacijske ukrepe, s katerimi bi na ustrezen način zagotovil, da se tveganje napak čim bolj zmanjša in da se netočnosti popravijo, in da zavaruje osebne podatke tako, da se upoštevajo morebitne nevarnosti, povezane z interesi in pravicami posameznika, na katerega se nanašajo osebni podatki, ter tako, da se preprečijo tudi diskriminatorne posledice za tega posameznika. Ti ukrepi vključujejo tudi vsaj pravico posameznika, na katerega se nanašajo osebni podatki, do osebnega posredovanja upravljavca, do izražanja lastnega stališča in do izpodbijanja odločitve.

67 Poudariti je treba še, da mora biti v skladu z ustaljeno sodno prakso Sodišča vsaka obdelava osebnih podatkov na eni strani skladna z načeli v zvezi z obdelavo podatkov iz člena 5 SUVP, na drugi strani pa mora ob upoštevanju zlasti načela zakonitosti obdelave iz odstavka 1(a) tega člena izpolnjevati enega od pogojev za zakonitost obdelave, ki so našteti v členu 6 te uredbe (sodba z dne 20. oktobra 2022, Digi, C‑77/21, EU:C:2022:805, točka 49 in navedena sodna praksa). Upravljavec mora biti zmožen dokazati spoštovanje teh načel v skladu z načelom odgovornosti iz člena 5(2) navedene uredbe (glej v tem smislu sodbo z dne 20. oktobra 2022, Digi, C‑77/21, EU:C:2022:805, točka 24).

68 Če torej pravo države članice v skladu s členom 22(2)(b) SUVP dovoljuje sprejetje odločitve, ki temelji izključno na avtomatizirani obdelavi, mora ta obdelava izpolnjevati ne le pogoje iz zadnjenavedene določbe in člena 22(4) te uredbe, ampak tudi zahteve, določene v členih 5 in 6 navedene uredbe. Zato države članice na podlagi člena 22(2)(b) SUVP ne morejo sprejeti predpisov, ki dovoljujejo oblikovanje profilov v nasprotju z zahtevami iz teh členov 5 in 6, kot se razlagajo v sodni praksi Sodišča.

69 Zlasti v zvezi s pogoji za zakonitost, določenimi v členu 6(1)(a), (b) in (f), SUVP, ki se lahko uporabijo v primeru, kakršen je ta iz postopka v glavni stvari, države članice ne smejo določiti dodatnih pravil za uporabo teh pogojev, saj je ta možnost v skladu s členom 6(3) te uredbe omejena na razloge iz člena 6(1)(c) in (e) navedene uredbe.

70 Poleg tega, kar natančneje zadeva člen 6(1)(f) SUVP, se države članice na podlagi člena 22(2)(b) te uredbe ne smejo oddaljiti od zahtev, ki izhajajo iz sodne prakse Sodišča iz sodbe z dne 7. decembra 2023, SCHUFA Holding in drugi (Odpis preostanka dolga) (C‑26/22 in C‑64/22, EU:C:2023:xxx,), zlasti z dokončno določitvijo izida tehtanja zadevnih pravic in interesov (glej v tem smislu sodbo z dne 19. oktobra 2016, Breyer, C‑582/14, EU:C:2016:779, točka 62).

71 V obravnavanem primeru predložitveno sodišče navaja, da bi zgolj člen 31 BDSG lahko pomenil nacionalno pravno podlago v smislu člena 22(2)(b) SUVP. Vendar resno dvomi o združljivosti tega člena 31 s pravom Unije. Če bi se štelo, da ta določba ni združljiva s pravom Unije, naj družba SCHUFA ne bi delovala le brez pravne podlage, temveč naj bi ipso iure kršila prepoved iz člena 22(1) SUVP.

72 V zvezi s tem mora predložitveno sodišče preveriti, ali je mogoče člen 31 BDSG opredeliti kot pravno podlago, ki na podlagi člena 22(2)(b) SUVP omogoča sprejetje odločitve, ki temelji izključno na avtomatizirani obdelavi. Če bi to sodišče ugotovilo, da je navedeni člen 31 taka pravna podlaga, bi moralo preveriti še, ali so v obravnavanem primeru izpolnjeni pogoji iz člena 22(2)(b) in (4) SUVP ter pogoji iz členov 5 in 6 te uredbe.

73 Glede na vse zgornje preudarke je treba na prvo vprašanje odgovoriti, da je treba člen 22(1) SUVP razlagati tako, da avtomatizirana izdelava verjetnostne ocene s strani agencije za kreditne informacije, ki temelji na osebnih podatkih v zvezi z osebo in se nanaša na njeno sposobnost, da v prihodnje izpolni plačilne obveznosti, pomeni „avtomatizirano posamezno odločitev“ v smislu te določbe, če je to, ali bo tretja stranka, ki ji je navedena verjetnostna ocena sporočena, s to osebo vzpostavila, izvršila ali prekinila pogodbeno razmerje, v bistvenem odvisno od te verjetnostne ocene.

Drugo vprašanje

74 Glede na odgovor na prvo vprašanje na drugo vprašanje ni treba odgovoriti.

Stroški

75 Ker je ta postopek za stranki iz postopka v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.

Iz teh razlogov je Sodišče (prvi senat) razsodilo:

Člen 22(1) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov)

je treba razlagati tako, da

avtomatizirana izdelava verjetnostne ocene s strani agencije za kreditne informacije, ki temelji na osebnih podatkih v zvezi z osebo in se nanaša na njeno sposobnost, da v prihodnje izpolni plačilne obveznosti, pomeni „avtomatizirano posamezno odločitev“ v smislu te določbe, če je to, ali bo tretja stranka, ki ji je navedena verjetnostna ocena sporočena, s to osebo vzpostavila, izvršila ali prekinila pogodbeno razmerje, v bistvenem odvisno od te verjetnostne ocene.

Podpisi

* Jezik postopka: nemščina.