62022CJ0203_RES
Zaak C‑203/22
CK
tegen
Magistrat der Stadt Wien
(verzoek om een prejudiciële beslissing, ingediend door het Verwaltungsgericht Wien)
Arrest van het Hof (Eerste kamer) van 27 februari 2025
„Prejudiciële verwijzing – Bescherming van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 15, lid 1, onder h) – Geautomatiseerde besluitvorming, met inbegrip van profilering – ‚Scoring’ – Beoordeling van de kredietwaardigheid van een natuurlijke persoon – Inzage in nuttige informatie over de onderliggende logica van de profilering – Verificatie van de juistheid van de verstrekte informatie – Richtlijn (EU) 2016/943 – Artikel 2, punt 1 – Bedrijfsgeheim – Persoonsgegevens van derden”
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Recht van inzage van de betrokkene in hem betreffende persoonsgegevens die worden verwerkt – Geautomatiseerde besluitvorming, met inbegrip van profilering – Recht van inzage in nuttige informatie over de onderliggende logica van de profilering – Omvang
[Verordening 2016/679 van het Europees Parlement en de Raad, art. 12, lid 1, art. 15, lid 1, h), en lid 3, en art. 22, leden 1 en 3]
(zie punten 40‑43, 47, 48, 50, 58, 59, 61, 62, 66, dictum 1)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Recht van inzage van de betrokkene in hem betreffende persoonsgegevens die worden verwerkt – Geautomatiseerde besluitvorming, met inbegrip van profilering – Recht van inzage in nuttige informatie over de onderliggende logica van de profilering – Bescherming van de rechten en vrijheden van anderen – Recht op bescherming van de persoonsgegevens van derden en het bedrijfsgeheim – Afweging van de betrokken rechten en belangen door de bevoegde toezichthoudende autoriteit of rechterlijke instantie
[Verordening 2016/679 van het Europees Parlement en de Raad, overweging 63 en art. 15, lid 1, h); richtlijn 2016/943 van het Europees Parlement en de Raad, art. 2, punt 1]
(zie punten 72‑76, dictum 2)
Samenvatting
Naar aanleiding van een verzoek om een prejudiciële beslissing van het Verwaltungsgericht Wien (bestuursrechter in eerste aanleg Wenen, Oostenrijk) bouwt het Hof verder op zijn recente rechtspraak over de rechten van personen voor wie, met het oog op de beoordeling van hun kredietwaardigheid, gebruik wordt gemaakt van profilering (
1
). Ten eerste verduidelijkt het Hof de omvang van het recht van de betrokkene om inzage te verkrijgen in de informatie met betrekking tot de verwerking van zijn gegevens. Ten tweede spreekt het zich uit over de afweging van dit recht tegen het recht op bescherming van de gegevens van derden of bedrijfsgeheimen.
Een telecomprovider heeft geweigerd om voor CK een overeenkomst voor mobiele telefonie te sluiten of te verlengen Die weigering was gebaseerd op een geautomatiseerde kredietbeoordeling van D & B, een onderneming die gespecialiseerd is in het verstrekken van dergelijke beoordelingen.
Bij een besluit van de Oostenrijkse autoriteit voor gegevensbescherming is D & B gelast om aan CK nuttige informatie te verstrekken over de logica die ten grondslag lag aan de geautomatiseerde besluitvorming die plaatsvond op basis van de persoonsgegevens van CK. Bij beslissing van 23 oktober 2019 heeft het Bundesverwaltungsgericht (federale bestuursrechter in eerste aanleg, Oostenrijk) het beroep dat D & B tegen dat besluit had ingesteld, verworpen. De Magistrat der Stadt Wien (gemeentebestuur van de stad Wenen, Oostenrijk) heeft het door CK ingediende verzoek tot gedwongen tenuitvoerlegging van die rechterlijke beslissing evenwel afgewezen.
De verwijzende rechter, bij wie CK beroep heeft ingesteld tegen het besluit van dat gemeentebestuur, verzoekt het Hof om de omvang te verduidelijken van de informatie die aan de betrokkene moet worden verstrekt wil zijn in de algemene verordening gegevensbescherming neergelegde recht op inzage (
2
) volledig worden gewaarborgd. Tevens verzoekt hij het Hof om te verduidelijken of, en in welke mate, dat recht door de uitzondering met betrekking tot het bestaan van een bedrijfsgeheim kan worden beperkt.
Beoordeling door het Hof
In de eerste plaats verduidelijkt het Hof het recht van personen op wie een geautomatiseerd besluit, met inbegrip van profilering, ziet om inzage te krijgen in „nuttige informatie over de onderliggende logica” in de zin van artikel 15, lid 1, onder h), AVG, waarbij het op basis van de verschillende taalversies van die bepaling vaststelt dat onder de bewoordingen ervan alle informatie valt die relevant is voor de procedure en de beginselen voor het geautomatiseerd gebruik van persoonsgegevens met het oog op de verkrijging daaruit van een bepaald resultaat.
Voorts merkt het op dat de letterlijke uitlegging van die bepaling van de AVG steun vindt in de contextuele uitlegging ervan en dat het uit hoofde van de transparantieverplichting, die geldt voor alle gegevens en informatie, met inbegrip van die welke verband houden met geautomatiseerde besluitvorming (
3
), bovendien vereist is dat die informatie in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm wordt verstrekt.
Bovendien wijst het erop dat uit het onderzoek van de doelstellingen van de AVG, en met name die van artikel 15, lid 1, onder h), blijkt dat het recht op „nuttige informatie over de onderliggende logica” van geautomatiseerde besluitvorming in de zin van die bepaling moet worden opgevat als een recht op uitleg over welke procedure en beginselen er concreet zijn toegepast om geautomatiseerd gebruik te maken van de persoonsgegevens van de betrokkene met het oog op de verkrijging daaruit van een bepaald resultaat, zoals een kredietprofiel. Om ervoor te zorgen dat de betrokkene zijn rechten uit hoofde van de AVG (
4
) doeltreffend kan uitoefenen, moet die uitleg worden verschaft aan de hand van relevante informatie en in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm. Noch het zonder meer meedelen van een complexe wiskundige formule, zoals een algoritme, noch een gedetailleerde beschrijving van alle stappen van geautomatiseerde besluitvorming kan aan die vereisten voldoen omdat geen van beide methoden een voldoende beknopte en begrijpelijke uitleg vormt.
Het Hof komt tot de slotsom dat de „nuttige informatie over de onderliggende logica” van geautomatiseerde besluitvorming in de zin van artikel 15, lid 1, onder h), AVG een zodanige beschrijving van de concreet toegepaste procedure en beginselen moet omvatten dat de betrokkene kan begrijpen welke van zijn persoonsgegevens op welke wijze bij de geautomatiseerde besluitvorming zijn gebruikt, zonder dat de complexiteit van de in het kader van geautomatiseerde besluitvorming uit te voeren bewerkingen de verwerkingsverantwoordelijke van zijn verplichting om uitleg te verstrekken kan ontslaan.
Specifiek met betrekking tot een profilering als die in het hoofdgeding merkt het Hof op dat de verwijzende rechter met name zou kunnen oordelen dat aan het vereiste van transparantie en begrijpelijkheid is voldaan wanneer aan de betrokkene wordt meegedeeld in welke mate een ander resultaat zou zijn verkregen mocht er rekening zijn gehouden met andere persoonsgegevens.
Wat in de tweede plaats de afweging van het door de AVG gewaarborgde recht van inzage en het recht op bescherming van de gegevens van derden of bedrijfsgeheimen betreft (
5
), brengt het Hof allereerst zijn rechtspraak in herinnering volgens welke een nationale rechter van oordeel kan zijn dat persoonsgegevens van de partijen of van derden aan hem moeten worden meegedeeld om met volledige kennis van zaken en met inachtneming van het evenredigheidsbeginsel de betrokken belangen tegen elkaar te kunnen afwegen. Deze beoordeling kan er in voorkomend geval toe leiden dat de rechter toestemming verleent om de hem aldus meegedeelde persoonsgegevens geheel of gedeeltelijk aan de wederpartij te verstrekken, indien deze verstrekking naar het oordeel van die rechter niet verder gaat dan noodzakelijk is om te waarborgen dat justitiabelen daadwerkelijk de aan artikel 47 van het Handvest van de grondrechten van de Europese Unie ontleende rechten genieten. (
6
)
Vervolgens verklaart het Hof dat die rechtspraak ten volle toepasselijk is wanneer de informatie die op grond van het door artikel 15, lid 1, onder h), AVG gewaarborgde recht van inzage aan de betrokkene moet worden verstrekt, de rechten en vrijheden van anderen kan aantasten, met name omdat zij door die verordening beschermde persoonsgegevens van derden of een bedrijfsgeheim bevat. Ook in dat geval moet die informatie worden meegedeeld aan de bevoegde toezichthoudende autoriteit of rechterlijke instantie, die de betrokken rechten en belangen tegen elkaar dient af te wegen om de omvang vast te stellen van het recht van inzage van de betrokkene in de hem betreffende persoonsgegevens.
Het Hof stelt vast dat aangezien de omvang van dat recht per geval moet worden vastgesteld, artikel 15, lid 1, onder h), AVG zich met name verzet tegen de toepassing van een nationale bepaling die het recht van inzage van de betrokkene in beginsel uitsluit wanneer die inzage afbreuk doet aan een bedrijfsgeheim van de verwerkingsverantwoordelijke of een derde. Dienaangaande herinnert het Hof eraan dat een lidstaat de uitkomst van een door het Unierecht per geval te verrichten afweging van de betrokken rechten en belangen niet definitief kan vaststellen. (
7
)
Concluderend oordeelt het Hof dat artikel 15, lid 1, onder h), AVG aldus moet worden uitgelegd dat wanneer de overeenkomstig die bepaling aan de betrokkene te verstrekken informatie volgens de verwerkingsverantwoordelijke (mede) ziet op door die verordening beschermde gegevens van derden of bedrijfsgeheimen, deze verwerkingsverantwoordelijke die beweerdelijk beschermde informatie dient mee te delen aan de bevoegde toezichthoudende autoriteit of rechterlijke instantie, die de betrokken rechten en belangen tegen elkaar moet afwegen om de omvang van het in artikel 15 AVG neergelegde recht van inzage van de betrokkene vast te stellen.
(
1
)	Arrest van 7 december 2023, SCHUFA Holding e.a. (Scoring) (C‑634/21, EU:C:2023:957).
(
2
)	Artikel 15, lid 1, onder h), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2, en PB 2021, L 74, blz. 35; hierna: „AVG”).
(
3
)	Als bedoeld in artikel 12, lid 1, AVG.
(
4
)	In het bijzonder artikel 22, lid 3, AVG.
(
5
)	In de zin van artikel 2, punt 1, van richtlijn (EU) 2016/943 van het Europees Parlement en de Raad van 8 juni 2016 betreffende de bescherming van niet-openbaar gemaakte knowhow en bedrijfsinformatie (bedrijfsgeheimen) tegen het onrechtmatig verkrijgen, gebruiken en openbaar maken daarvan (PB 2016, L 157, blz. 1).
(
6
)	Arrest van 2 maart 2023, Norra Stockholm Bygg (C‑268/21, EU:C:2023:145, punt 58).
(
7
)	Zie in die zin arrest van 7 december 2023, SCHUFA Holding e.a. (Scoring) (C‑634/21, EU:C:2023:957, punt 70 en aldaar aangehaalde rechtspraak).