62021CJ0634_RES
Vec C‑634/21
OQ
proti
Land Hessen
(návrh na začatie prejudiciálneho konania, ktorý podal Verwaltungsgericht Wiesbaden)
Rozsudok Súdneho dvora (prvá komora) zo 7. decembra 2023
„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 22 – Automatizované individuálne rozhodovanie – Spoločnosti poskytujúce ekonomické informácie – Automatizované určenie hodnoty pravdepodobnosti týkajúcej sa schopnosti dotknutej osoby v budúcnosti plniť platobné záväzky (scoring) – Použitie tejto hodnoty pravdepodobnosti tretími stranami“
Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Opravné prostriedky – Súdny prostriedok nápravy proti rozhodnutiu o sťažnosti prijatému dozorným orgánom – Súdne preskúmanie – Rozsah – Limity – Neexistencia
(Nariadenie Európskeho parlamentu a Rady 2016/679, článok 78 ods. 1)
(pozri bod 34)
Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Právo dotknutej osoby, aby sa na ňu nevzťahovalo rozhodnutie, ktoré je založené výlučne na automatizovanom spracúvaní – Automatizované individuálne rozhodovanie – Pojem – Automatizované určenie hodnoty pravdepodobnosti týkajúcej sa úverovej bonity osoby spoločnosťou poskytujúcou obchodné informácie, využívané treťou stranou – Zahrnutie – Podmienky
(Nariadenie Európskeho parlamentu a Rady 2016/679, odôvodnenie 71, článok 4 bod 4 a článok 22 ods. 1)
(pozri body 43, 46 – 50, 60 – 63, 73 a výrok)
Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Právo dotknutej osoby, aby sa na ňu nevzťahovalo rozhodnutie, ktoré je založené výlučne na automatizovanom spracúvaní – Výnimky – Prijatie rozhodnutia založeného výlučne na automatizovanom spracúvaní, ktoré povoľuje právo členského štátu – Povinnosť dodržiavať podmienky a požiadavky stanovené v uvedenom nariadení – Overenie prislúchajúce vnútroštátnemu súdu
(Nariadenie Európskeho parlamentu a Rady 2016/679, odôvodnenie 71, články 5, 6 a článok 22 ods. 2 až 4)
(pozri body 53 – 55, 64, 67 – 70, 72)
Zhrnutie
SCHUFA Holding AG, súkromná spoločnosť založená podľa nemeckého práva, svojim zmluvným partnerom poskytuje informácie o úverovej bonite osôb. Na tento účel prideľuje každej dotknutej osobe hodnotu (skóre), ktorú určí v závislosti od určitých charakteristík tejto osoby na základe matematických a štatistických postupov. Určenie skóre slúži na predpovedanie budúceho správania osoby, ako je splatenie úveru, na základe jej pridelenia ku skupine iných osôb s porovnateľnými vlastnosťami.
Po tom, čo SCHUFA stanovila záporné informácie vo vzťahu ku OQ a poskytla ich úverovej inštitúcii, táto inštitúcia odmietla poskytnúť OQ úver. OQ požiadala SCHUFA, aby jej poskytla prístup k údajom, ktoré sa jej týkajú, a aby vymazala údajne nesprávne údaje. SCHUFA jej však oznámila len jej skóre a vo všeobecnosti spôsoby jeho výpočtu, pričom sa vo zvyšnej časti odvolala na obchodné tajomstvo.
OQ následne podala sťažnosť proti spoločnosti SCHUFA na HBDI, nemecký dozorný orgán (
1
), ktorú tento orgán zamietol z dôvodu, že činnosť spoločnosti SCHUFA bola v súlade s nemeckými právnymi predpismi upravujúcimi spôsoby využívania hodnoty pravdepodobnosti týkajúcej sa úverovej bonity (
2
).
Verwaltungsgericht Wiesbaden (Správny súd Wiesbaden, Nemecko), na ktorý OQ podala žalobu proti rozhodnutiu HBDI, sa pýtal Súdneho dvora na výklad ustanovení GDPR (
3
) týkajúcich sa práva dotknutej osoby na to, aby sa na ňu nevzťahovalo rozhodnutie založené výlučne na automatizovanom spracúvaní vrátane profilovania (
4
).
Súdny dvor vo svojom rozsudku po prvýkrát vyložil ustanovenia GDPR týkajúce sa citlivej oblasti rozhodnutí založených výlučne na automatizovanom spracúvaní údajov. V tomto rámci sa vyjadril k otázke, či automatizované určenie hodnoty pravdepodobnosti týkajúcej sa úverovej bonity určitej osoby spoločnosťou poskytujúcou obchodné informácie, predstavuje automatizované individuálne rozhodnutie, a teda patrí do pôsobnosti týchto ustanovení.
Posúdenie Súdnym dvorom
Súdny dvor v prvom rade konštatoval, že v prejednávanej veci sú splnené tri kumulatívne podmienky uplatniteľnosti ustanovení GDPR, ktoré upravujú právo osoby na to, aby sa na ňu nevzťahovalo rozhodnutie založené výlučne na automatizovanom spracúvaní vrátane profilovania.
Pokiaľ ide o prvú podmienku týkajúcu sa existencie rozhodnutia, Súdny dvor spresnil, že pojem „rozhodnutie“ má široký rozsah a môže zahŕňať výsledok výpočtu úverovej bonity osoby vo forme pravdepodobnosti týkajúcej sa schopnosti tejto osoby plniť platobné záväzky v budúcnosti.
Pokiaľ ide o druhú podmienku, podľa ktorej musí byť rozhodnutie „založené výlučne na automatizovanom spracúvaní vrátane profilovania“, je podľa Súdneho dvora nesporné, že činnosť predmetnej spoločnosti zodpovedá definícii „profilovania“ (
5
), a teda že táto podmienka je v prejednávanej veci splnená. Vnútroštátny súd navyše výslovne uviedol, že ide o výlučne automatizované určenie pravdepodobnosti založené na osobných údajoch týkajúcich sa určitej osoby a týkajúce sa jej schopnosti v budúcnosti splácať úver.
Pokiaľ ide o tretiu podmienku, že rozhodnutie musí mať „právne účinky“ týkajúce sa dotknutej osoby alebo ju musí „podobne významne ovplyv[ňovať]“, Súdny dvor v prejednávanej veci uviedol, že konanie tretej strany, ktorej sa hodnota pravdepodobnosti poskytne, sa „rozhodujúcou mierou“ riadi touto hodnotou. Nedostatočná hodnota pravdepodobnosti totiž takmer vždy vedie k odmietnutiu poskytnutia úveru. Táto hodnota tak prinajmenšom ovplyvní dotknutú osobu výrazným spôsobom.
Súdny dvor dospel k záveru, že v prípade, že hodnota pravdepodobnosti stanovená spoločnosťou poskytujúcou ekonomické informácie a oznámená banke zohráva rozhodujúcu úlohu pri poskytovaní úveru, sa určenie tejto hodnoty musí samo osebe kvalifikovať ako rozhodnutie, ktoré má vo vzťahu k dotknutej osobe „právne účinky, ktoré sa jej týkajú alebo ju podobne významne ovplyvňujú“ (
6
).
Súdny dvor ďalej zdôraznil, že tento výklad, a najmä široký rozsah pojmu „rozhodnutie“, posilňuje účinnú ochranu, na ktorú sa vzťahuje GDPR. Naproti tomu reštriktívny výklad, podľa ktorého sa určenie hodnoty pravdepodobnosti musí považovať len za prípravný akt a za „rozhodnutie“ možno prípadne považovať iba akt prijatý treťou stranou, by mal za následok medzeru v právnej ochrane. V takom prípade by totiž stanovenie takej hodnoty pravdepodobnosti uniklo osobitným požiadavkám stanoveným v GDPR (
7
), hoci tento postup je založený na automatizovanom spracúvaní a vyvoláva účinky významne ovplyvňujúce dotknutú osobu, keďže konanie tretej strany, ktorej sa táto hodnota pravdepodobnosti poskytuje, sa rozhodujúcou mierou ňou riadi.
Okrem toho dotknutá osoba by si na jednej strane nemohla voči spoločnosti poskytujúcej ekonomické informácie, ktorá bez vykonania automatizovaného rozhodovania určí hodnotu pravdepodobnosti týkajúcu sa tejto osoby, uplatniť svoje právo na prístup ku konkrétnym informáciám. (
8
) Na druhej strane aj za predpokladu, že by sa na akt prijatý treťou stranou vzťahovali ustanovenia GDPR týkajúce sa práva osoby, aby sa na ňu nevzťahovalo rozhodnutie, ktoré je založené výlučne na automatizovanom spracúvaní, táto tretia strana by nebola schopná poskytnúť tieto konkrétne informácie, pretože ich v zásade nemá.
Napokon Súdny dvor poznamenal, že skutočnosť, že na určenie hodnoty pravdepodobnosti sa vzťahujú ustanovenia GDPR, ktoré upravujú právo osoby na to, aby sa na ňu nevzťahovalo rozhodnutie založené výlučne na automatizovanom spracúvaní, má za následok, že je zakázané, pokiaľ sa neuplatní jedna z výnimiek a ak sú dodržané osobitné požiadavky stanovené v GDPR.
Okrem toho každé spracúvanie osobných údajov musí byť na jednej strane v súlade so zásadami týkajúcimi sa spracúvania údajov stanovenými v GDPR a na druhej strane najmä vzhľadom na zásadu zákonnosti spracúvania musí spĺňať jednu z podmienok zákonnosti.
V tejto súvislosti Súdny dvor uviedol, že vnútroštátny súd odkazuje na výnimku, podľa ktorej môže byť prijatie rozhodnutia založeného výlučne na automatizovanom spracúvaní povolené, ak to stanovuje právo členského štátu. V tejto súvislosti spresnil, že tomuto súdu prináleží overiť, či vnútroštátnu právnu úpravu upravujúcu spôsoby využitia hodnoty pravdepodobnosti týkajúcej sa úverovej bonity možno kvalifikovať ako právny základ umožňujúci prijatie takéhoto rozhodnutia, a v prípade kladnej odpovede, či sú v prejednávanej veci splnené podmienky spojené s touto výnimkou a podmienky týkajúce sa zásad uplatniteľných na spracúvanie stanovené v GDPR.
(
1
)	Hessischer Beauftragter für Datenschutz und Informationsfreiheit (splnomocnenec Spolkovej krajiny Hessensko pre ochranu údajov a slobodu informácií, Nemecko).
(
2
)	Ustanovenie § 31 Bundesdatenschutzgesetz (spolkový zákon o ochrane údajov) z 30. júna 2017 (BGBl. I, s. 2097).
(
3
)	Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1; ďalej len „GDPR“).
(
4
)	Článok 22 GDPR.
(
5
)	V zmysle článku 4 bodu 4 GDPR.
(
6
)	V zmysle § 22 ods. 1 GDPR.
(
7
)	Uvedené v článku 22 ods. 2 až 4 GDPR. Z týchto ustanovení vyplýva, že zákaz individuálneho rozhodnutia založeného výlučne na automatizovanom spracúvaní je doplnený tromi výnimkami spolu s dodatočnými zárukami. Takéto rozhodnutie je teda prípustné, ak je potrebné na uzavretie alebo plnenie zmluvy medzi dotknutou osobou a prevádzkovateľom, ak je povolené právom Únie alebo právom členského štátu, ktorému prevádzkovateľ podlieha, alebo ak je založené na výslovnom súhlase dotknutej osoby, pod podmienkou, že sú zavedené primerané opatrenia na ochranu práv a slobôd, ako aj oprávnených záujmov dotknutej osoby.
(
8
)	Uvedené v článku 15 ods. 1 písm. h) GDPR, ktorý v prípade automatizovaného rozhodovania priznáva dotknutej osobe rozšírené právo na prístup.