Affaires jointes C-26/22 et C-64/22, SCHUFA Holding (Libération de reliquat de dette): Arrêt de la Cour (première chambre) du 7 décembre 2023 (demandes de décision préjudicielle du Verwaltungsgericht Wiesbaden — Allemagne) — UF (C-26/22), AB (C-64/22) / Land Hessen [Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Article 5, paragraphe 1, sous a) – Principe de la «licéité» – Article 6, paragraphe 1, premier alinéa, sous f) – Nécessité du traitement aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers – Article 17, paragraphe 1, sous d) – Droit à l’effacement en cas de traitement illicite de données à caractère personnel – Article 40 – Codes de conduite – Article 78, paragraphe 1 – Droit à un recours juridictionnel effectif contre une autorité de contrôle – Décision prise par l’autorité de contrôle sur une réclamation – Portée du contrôle juridictionnel sur cette décision – Sociétés fournissant des informations commerciales – Conservation de données provenant d’un registre public relatives à la libération de reliquat de dette en faveur d’une personne – Durée de la conservation]

1)

L’article 78, paragraphe 1, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),

doit être interprété en ce sens que:

une décision sur réclamation adoptée par une autorité de contrôle est soumise à un contrôle juridictionnel entier.

2)

L’article 5, paragraphe 1, sous a), du règlement 2016/679, lu conjointement avec l’article 6, paragraphe 1, premier alinéa, sous f), de ce règlement,

doit être interprété en ce sens que:

il s’oppose à une pratique de sociétés privées fournissant des informations commerciales consistant à conserver, dans leurs propres bases de données, des informations provenant d’un registre public relatives à l’octroi d’une libération de reliquat de dette en faveur de personnes physiques afin de pouvoir fournir des renseignements sur la solvabilité de ces personnes, pendant une période allant au-delà de celle durant laquelle les données sont conservées dans le registre public.

3)

L’article 17, paragraphe 1, sous c), du règlement 2016/679

doit être interprété en ce sens que:

la personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, des données à caractère personnel la concernant lorsqu’elle s’oppose au traitement conformément à l’article 21, paragraphe 1, de ce règlement et qu’il n’existe pas de motifs légitimes impérieux de nature à justifier, à titre exceptionnel, le traitement en cause.

4)

L’article 17, paragraphe 1, sous d), du règlement 2016/679

doit être interprété en ce sens que:

le responsable du traitement est tenu d’effacer, dans les meilleurs délais, les données à caractère personnel ayant fait l’objet d’un traitement illicite.