Op 7 december jl. heeft het Europese Hof uitspraken gewezen in zaken tegen het Duitse kredietregistratie- en waarderingsberijf SCHUFA. Dit is een onderneming die kredieten registreert en kredietwaardigheidsinformatie levert aan onder meer banken.

De uitspraak is interessant voor de positie van het Nederlandse Bureau Kredietregistratie (BKR) en diverse andere bedrijven in Nederland die hetzelfde werk doen als SCHUFA.

Onderwerp
SCHUFA houdt zich bezig met het voorspellen van het gedrag van kredietnemers, wat in het Engelstalige nieuwsbericht van het Hof ‘scoren’ wordt genoemd. Dat scoren vindt plaats door middel van een wiskundige statistische methode. In het nieuwsbericht is vermeld dat in het Duitse openbare insolventieregister informatie met betrekking tot het verlenen van kwijtschelding van resterende schulden zes maanden wordt bewaard, terwijl een gedragscode voor Duitse kredietinformatiebureaus een bewaartermijn van drie jaar voorschrijft voor hun eigen databases. De Duitse rechter heeft het Hof gevraagd om de reikwijdte van de bescherming van persoonsgegevens te verduidelijken, zoals bepaald in de algemene verordening gegevensbescherming (AVG).

Oordeel
In het nieuwsbericht wordt het oordeel als volgt samengevat:

As regards ‘scoring’, the Court holds that it must be regarded as an ‘automated individual decision’ prohibited in principle by the GDPR, in so far as SCHUFA’s clients, such as banks, attribute to it a determining role in the granting of credit. According to the Administrative Court of Wiesbaden, this is the case. It is for that court to assess whether the German Federal Law on data protection contains a valid exception to that prohibition in accordance with the GDPR. If this is the case, it will still have to check whether the general conditions laid down by the GDPR for data processing have been met.

As regards information relating to the granting of a discharge from remaining debts, the Court considers that it is contrary to the GDPR for private agencies to keep such data for longer than the public insolvency register. The discharge from remaining debts is intended to allow the data subject to re-enter economic life and is therefore of existential importance to that person. That information is still used as a negative factor when assessing the solvency of the data subject. In this case, the German legislature has provided for data to be stored for six months. It therefore considers that, at the end of the six months, the rights and interests of the data subject take precedence over those of the public to have access to that information.

In so far as the retention of data is unlawful, as is the case beyond six months, the data subject has the right to have the data deleted and the agency is obliged to delete the data as soon as possible.

As regards the parallel storage of such information by SCHUFA for those six months, it is for the Administrative Court to weigh up the interests involved in order to assess its lawfulness. Should it conclude that parallel storage for six months is lawful, the data subject will still have the right to object to the processing of his or her data and the right to have the data erased, unless SCHUFA can demonstrate the existence of overriding legitimate grounds.

Finally, the Court emphasises that national courts must be able to exercise full review over any legally binding decision of a supervisory authority.

De uitspraak maakt duidelijk dat kredietscoring alleen onder voorwaarden is toegestaan en dat de kredietregistratiebedrijven de kwijtscheldingsgegevens niet langer mogen bewaren dan de Duitse wet voorschrijft.

Zoals bij alle verwerkingsverantwoordelijken geldt ook hier dat SCHUFA de illegaal verwerkte gegevens zo spoedig mogelijk moet verwijderen.

Meer informatie

Persberichten: es de en fr it hu pl pt ro
(geen Nederlands, was de vertaler Nederlands op vakantie?)

Zaak C-26/22
Overzichtspagina
Uitspraak in het Nederlands

Zaak C-634/21
Overzichtspagina
Uitspraak in het Nederlands

Aanvulling 8 maart 2024
Lees over de SCHUFA uitspraak het artikel Profilering en geautomatiseerde besluiten: een te groot risico? door Marlies van Eck. Zij besluit met:

Het lijkt erop dat de teugels strakker worden aangespannen als het gaat om geautomatiseerde besluiten en profilering. Dit heeft directe juridische gevolgen voor de particuliere sector, maar de uitspraken van het Europees Hof van Justitie over SCHUFA zetten ook de bestaande praktijk bij overheden onder druk. Want ook overheden werken met risicoprofilering. Omdat de rechter naar de geest van de AVG kijkt is het de vraag of risicoprofilering bij het controleren van burgers is toegestaan.

Aanvulling 17 mei 2024
De landsadvocaat heeft naar aanleiding van het SCHUFA-arrest op 12 maart 2024 advies uitgebracht, dat door de staatssecretaris van Financiën op 13 maart 2024 aan de Tweede Kamer is gestuurd, lees diens brief. Het College voor de Rechten van de Mens schrijft in de position paper voor het Rondetafelgesprek over risicoprofilering in het handhavingsbeleid:

Hof van Justitie van de EU: het Schufa-arrest [10]
Recent heeft demissionair staatssecretaris van financiën Van Rij de Tweede Kamer een brief gestuurd over de betekenis van het advies van de Landsadvocaat naar aanleiding van het Schufa-arrest van het Hof van Justitie van de EU. [11] Kortgezegd staat in het advies van de Landsadvocaat de legitimiteit van risicoprofilering in het algemeen ter discussie als voor geautomatiseerde gegevensverwerking geen expliciete wettelijke grondslag is verleend. Dit zou volgen uit de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet AVG (UAVG). De staatssecretaris spreekt van ‘in potentie vergaande impact’ voor de Belastingdienst, en heeft de Autoriteit Persoonsgegevens om een nader advies gevraagd. Het College volgt deze ontwikkelingen op de voet.

[10] HvJEU 7 december 2023, ECLI:EU:C;2023:957 (SCHUFA Scoring).
[11] Staatssecretaris van Rij van Financiën, brief van 13 maart 2024, Kamerstukken II, 2023/24, 32 761, nr. 294.