OQ / Land Hessen, C-634/21 ve UF (C 26/22), AB (C 64/22) / Land Hessen
Olayın Gelişimi
Schufa Holding AG (‘Schufa’), Almanya’da kurulmuş özel bir şirkettir. Şirketin amacı, kişilerin ekonomik durumlar hakkında ilgililere bilgi sağlamaktır. Özellikle bankalar kredi kullandırma süreçlerinde Schufa’ya potansiyel müşterilerinin kredi skorları hakkında başvurabildikleri gibi kiraya veren mülk sahipleri de kiracılardan kira ilişkisine girmeden önce kredi skoru değerini talep edebilmektedir. Ayrıca aynı şirket, kişilerin iflas durumlarıyla alakalı da veri işlemektedir. Şöyle ki Almanya’da gerçek kişilerin de iflas etmesi mümkün olmakla birlikte, borçların ödenmemesi halinde iflas eden borçlunun kalan borçlardan bütünüyle kurtulması ve bu sayede yeni bir başlangıç yapabilmesi, özellikle sürekli icra takibine muhatap olmaması imkânı mevcuttur. Buna ilişkin bilgiler kamu sicillerinde 6 ay boyunca saklanmakta, Schufa ise söz konusu bilgileri 3 yıl boyunca muhafaza etmekte ve kredi skoru değerlendirmelerinde de dikkate almaktadır.
Avrupa Adalet Divanı’na yöneltilen iki farklı ön soru çerçevesinde öncelikle Schufa tarafından hesaplanan kredi skorlamasının Art. 22 GVKT bağlamında kişisel verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesinin söz konusu olup olmadığı ve ardından iflas sürecine ilişkin bilgilerin 3 yıl boyunca muhafaza edilmesinin GVKT’ye uyumluluğunun değerlendirilmesi talep edilmiştir.
Karar Özeti
Art. 22 GVKT hükmüne göre ilgili kişi, (i) kendisiyle ilgili hukuki sonuçlar doğuran veya benzer biçimde kendisini kayda değer şekilde etkileyen, (ii) yalnızca otomatik işlemeye dayalı bir karara tabi olmama hakkına sahiptir.
Avrupa Adalet Divanı Schufa tarafından gerçekleştirilen kredi skoru hesaplama faaliyetinin yalnızca otomatik işlemeye dayalı bir veri işleme faaliyeti olarak değerlendirilmesi gerektiğini belirtmiştir. Bununla birlikte Art. 22 GVKT bağlamında “karar” kavramının geniş yorumlanması gerektiğinin de altı çizilmiştir. Dolayısıyla bir kişinin gelecekte borçlarını ödeyecek niteliğe sahip olup olmadığına ilişkin bir olasılık değerinin hesaplanması da otomatize karar olarak tanımlanmıştır (Kn. 46-47). Gerçi ulaşılan sonucun gerçek kişiler hakkında verilen kararlara önemli bir şekilde etki etmesi şartı aranmaktadır. Ancak ön soru talebinde bulunan Wiesbaden İdare Mahkemesi bu soruyu olumlu şekilde yanıtlamıştır. Dolayısıyla Divan, kişinin “kendisiyle ilgili hukuki sonuçlar doğuran veya benzer biçimde kendisini kayda değer şekilde etkileyen” bir kararın varlığına ilişkin açıklamalarda bulunmak zorunda kalmamıştır. Bununla birlikte Divan, Schufa tarafından kredi kuruluşlarına iletilen olumsuz ya da düşük skorların, genellikle kredinin reddedilmesine sebebiyet verdiğine ilişkin Wiesbaden İdare Mahkemesinin açıklamalarını dikkate almıştır (kn. 47, 48).
Bir sonraki aşamada ise Divan, söz konusu faaliyetlerin hukuka uygunluğunu tartışmıştır. Bu bağlamda özellikle Alman Veri Koruma Kanunu (BDSG) § 31 hükmünün uygun bir dayanak teşkil edip etmeyeceği sorusu incelenmiştir. Ancak anılan hüküm, elde edilen skor değerlerinin “kullanımına” müsaade etmektedir; bunların hesaplanmasına dair işlemler kanunun lafzına dahil değildir. Ayrıca ulusal kanunların Art. 22 f. 1 lit b) ve f. 4 GVKT’de belirtilen şartlara uyumlu olması gerektiği vurgulanmıştır. Bu bağlamda özellikle Art. 5 ve bilhassa Art. 6 f. 1 lit. a, b ve f GVKT bağlamında öngörülen koruma mekanizmalarının ulusal düzenlemeler vesilesiyle devre dışı bırakılması mümkün değildir (Kn. 67-70). Dolayısıyla ön soruyu yönelten mahkeme, bu şartları araştırmalıdır. Ancak bu şartların yerine dikkate alınmadığı durumlarda söz konusu veri işleme faaliyeti hem hukuki dayanaktan yoksun kalacak, hem de Art. 22 f. 1 GVKT’ye aykırılık teşkil edecektir (Kn. 71).
İflas bilgilerinin kamuya açık sicillerde öngörülen süreden daha uzun bir süre için muhafaza edilmesi noktasında ise Divan, kural olarak GVKT’ye aykırılıktan bahis açmaktadır. Her ne kadar kredi skorlama kuruluşlarının amacı, halihazırda mevcut bulunan ve kamuya açık bilgiden katma değer elde etmek ve bu sayede müşterilerine katma değerli hizmet sunmak olsa da, özellikle meşru menfaate dayalı veri işleme faaliyetleri kapsamında ilgili kişi haklarının öncelikli olacağı hususu vurgulanmıştır (Kn. 81-87). Bu bağlamda da Divan, nihai denge testinin ön soruyu ileten mahkeme tarafından yapılması gerektiğine işaret etmiştir. Bununla birlikte özellikle kişilerin iktisadi geleceğinin söz konusu olması, yapılacak denge testinde dikkate alınması gereken unsurlar arasındadır. Bu sebeple Divan, ilgili veri işleme faaliyetlerinin meşru menfaate dayandırılmasının mümkün olmayacağına işaret etmektedir (Kn. 97, 99).