62022CJ0203_RES
Mål C‑203/22
CK
mot
Magistrat der Stadt Wien
(begäran om förhandsavgörande från Verwaltungsgericht Wien)
Domstolens dom (första avdelningen) av den 27 februari 2025
”Begäran om förhandsavgörande – Skydd av personuppgifter – Förordning (EU) 2016/679 – Artikel 15.1 h – Automatiserat beslutsfattande, inbegripet profilering – ’Scoring’ – Bedömning av en fysisk persons kreditvärdighet – Tillgång till meningsfull information om logiken bakom profilering – Kontroll av att den information som lämnats är riktig – Direktiv (EU) 2016/943 – Artikel 2.1 – Företagshemlighet – Andras personuppgifter”
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Den registrerades rätt att få tillgång till sina personuppgifter som är under behandling – Automatiserat beslutsfattande, inbegripet profilering – Tillgång till meningsfull information om logiken bakom profilering – Omfattning
(Europaparlamentets och rådets förordning 2016/679, artiklarna 12.1, 15.1 h och 15.3 samt 22.1 och 22.3)
(se punkterna 40–43, 47, 48, 50, 58, 59, 61, 62 och 66 samt punkt 1 i domslutet)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Den registrerades rätt att få tillgång till sina personuppgifter som är under behandling – Automatiserat beslutsfattande, inbegripet profilering – Tillgång till meningsfull information om logiken bakom profilering – Skydd av andras fri- och rättigheter – Rätt till skydd av andras personuppgifter eller av företagshemligheter – Behörig tillsynsmyndighet eller domstol ska göra en avvägning mellan berörda motstående rättigheter och intressen
(Europaparlamentets och rådets förordning nr 2016/679, skäl 63 och artikel 15.1 h; Europaparlamentets och rådets direktiv 2016/943, artikel 2.1)
(se punkterna 72–76 samt punkt 2 i domslutet)
Resumé
Med anledning av en begäran om förhandsavgörande från Verwaltungsgericht Wien (Förvaltningsdomstolen i Wien, Österrike) utvecklar EU-domstolen sin senaste praxis avseende de registrerades rättigheter i samband med att det görs en profilering i syfte att bedöma deras kreditvärdighet. (
1
) För det första preciserar EU-domstolen gränserna för de registrerades rätt att få tillgång till information om behandlingen av deras personuppgifter. För det andra uttalar sig EU-domstolen om avvägningen mellan denna rätt för de registrerade och rätten till skydd av andras personuppgifter eller av företagshemligheter.
Bakgrunden till målet är följande. CK nekades av en mobiloperatör att ingå eller förlänga ett avtal om mobiltelefoni. Operatörens beslut grundade sig på en automatisk kreditvärdering, som hade gjorts av D & B, ett företag som specialiserat sig på att tillhandahålla sådana kreditvärderingar.
CK vände sig därefter till den österrikiska dataskyddsmyndigheten, som förelade D & B att ge CK meningsfull information om logiken bakom det automatiserade beslutsfattande som grundats på CK:s personuppgifter. D & B överklagade dataskyddsmyndighetens beslut till Bundesverwaltungsgericht (Federala förvaltningsdomstolen, Österrike), som avslog överklagandet genom dom av den 23 oktober 2019. När CK ansökte om verkställighet av domen vid Magistrat der Stadt Wien (Wiens stadsförvaltning, Österrike), som är verkställande myndighet, avslogs dock hennes ansökan.
CK överklagade beslutet från staden Wiens stadsförvaltning till den hänskjutande domstolen i förevarande mål. Den har begärt att EU-domstolen ska klargöra omfattningen av den information som ska lämnas till de registrerade för att deras rätt till tillgång enligt dataskyddsförordningen (
2
) fullt ut ska tillgodoses. Den hänskjutande domstolen har även begärt att EU-domstolen ska precisera om, och i vilken utsträckning, undantaget med hänvisning till förekomsten av en företagshemlighet innebär en begränsning av de registrerades rätt till tillgång.
EU-domstolens bedömning
EU-domstolen inleder sin prövning genom att klargöra att personer som berörs av ett automatiserat beslut, inbegripet profilering, har rätt att få tillgång till ”meningsfull information om [den bakomliggande logiken]”, i den mening som avses i artikel 15.1 h i dataskyddsförordningen. Efter att ha analyserat de olika språkversionerna av denna bestämmelse slår domstolen fast att dess ordalydelse avser all relevant information om förfarandet och principerna för användning av personuppgifter på automatiserad väg i syfte att uppnå ett visst resultat.
Domstolen finner vidare att denna tolkning av ordalydelsen i artikel 15.1 h i dataskyddsförordningen vinner stöd av en kontextuell tolkning av denna bestämmelse. Den påpekar även att kravet på öppenhet avseende den tillhandahållna informationen (
3
) är tillämpligt på alla uppgifter och all information, däribland information som har samband med automatiserat beslutsfattande, och att detta krav innebär att informationen ska tillhandahållas på ett koncist, transparent, begripligt och lättillgängligt sätt.
EU-domstolen påpekar dessutom att det framgår av prövningen av dataskyddsförordningens syften, i synnerhet syftena med artikel 15.1 h i förordningen, att rätten att erhålla ”meningsfull information om logiken” bakom automatiserat beslutsfattande, i den bestämmelsens mening, ska förstås som en rätt att få en förklaring av det förfarande och de principer som konkret tillämpats för att på automatiserad väg använda den registrerades personuppgifter i syfte att uppnå ett visst resultat, såsom en kreditvärdighetsprofil. Denna förklaring ska ges med hjälp av relevant information och i en koncis, transparent, begriplig och lättillgänglig form, för att den registrerade på ett effektivt sätt ska kunna utöva sina rättigheter enligt dataskyddsförordningen. (
4
) Dessa krav kan enligt domstolen inte uppfyllas genom att enbart ge den registrerade information i form av en komplicerad matematisk formel, såsom en algoritm, och inte heller genom att tillhandahålla en detaljerad beskrivning av alla steg i ett automatiserat beslutsfattande. Detta eftersom inget av dessa sätt kan anses utgöra en tillräckligt koncis och begriplig förklaring.
EU-domstolen slår på grundval av dessa skäl fast att ”meningsfull information om logiken bakom” automatiserat beslutsfattande, i den mening som avses i artikel 15.1 h i dataskyddsförordningen, ska innehålla en beskrivning av det förfarande och de principer som faktiskt tillämpats vid det aktuella automatiserade beslutsfattandet. Denna beskrivning ska vara av sådant slag att den registrerade kan förstå vilka av hans eller hennes personuppgifter som har använts – och på vilket sätt – i samband med det automatiserade beslutsfattandet. Den personuppgiftsansvarige kan inte för att befria sig från sin förklaringsskyldighet åberopa att automatiserat beslutsfattande innefattar komplicerade processer.
Vad närmare gäller en profilering som den i målet aktuella konstaterar EU-domstolen att den hänskjutande domstolen bland annat skulle kunna anse att kravet på öppenhet och begriplighet är uppfyllt om den registrerade informeras om i vilken utsträckning beaktandet av andra personuppgifter skulle ha lett till ett annat resultat.
EU-domstolen övergår därefter till att behandla avvägningen mellan den i dataskyddsförordningen garanterade rätten till tillgång och rätten till skydd av andras personuppgifter eller av företagshemligheter. (
5
) I detta avseende konstaterar EU-domstolen inledningsvis att det framgår av rättspraxis att en nationell domstol kan besluta att en handling som innehåller parternas eller andras personuppgifter ska ges in till den för att den med beaktande av samtliga omständigheter i målet och i enlighet med proportionalitetsprincipen ska kunna göra en avvägning mellan berörda intressen. Denna bedömning kan i förekommande fall föranleda att den nationella domstolen beslutar att de personuppgifter som handlingen innehåller helt eller delvis ska lämnas ut till motparten, om den finner att ett sådant utlämnande inte går utöver vad som är nödvändigt för att säkerställa att parternas rättigheter enligt artikel 47 i Europeiska unionens stadga om de grundläggande rättigheterna faktiskt upprätthålls. (
6
)
EU-domstolen bedömer att denna rättspraxis är helt överförbar på den situationen att informationen som ska lämnas till den registrerade enligt den i artikel 15.1 h i dataskyddsförordningen garanterade rätten till tillgång kan inverka menligt på andras fri- och rättigheter. Det kan bland annat röra sig om att den aktuella informationen innehåller andras – av förordningen skyddade – personuppgifter eller att den innehåller företagshemligheter. Även i den situationen ska den personuppgiftsansvarige ge in nämnda information till behörig tillsynsmyndighet eller domstol, på vilka det ankommer att göra en avvägning mellan berörda motstående rättigheter och intressen för att fastställa i vilken omfattning den registrerade har rätt att få tillgång till de personuppgifter som rör honom eller henne.
Mot bakgrund av att detta är något som måste fastställas från fall till fall finner EU-domstolen att artikel 15.1 h i dataskyddsförordningen bland annat utgör hinder för att tillämpa en nationell bestämmelse som innebär att den registrerade i princip inte har rätt att få tillgång till sina personuppgifter enligt artikel 15 i dataskyddsförordningen, om detta skulle skada den personuppgiftsansvariges eller någon annans företags- eller affärshemlighet. I detta avseende påpekar EU-domstolen att en medlemsstat inte har rätt att slutgiltigt ange vad resultatet av en enligt unionsrätten erforderlig avvägning från fall till fall mellan berörda motstående rättigheter och intressen blir. (
7
)
EU-domstolen slår på grundval av dessa skäl fast följande. Artikel 15.1 h i dataskyddsförordningen ska tolkas på så sätt att om den personuppgiftsansvarige anser att den information som ska lämnas till den registrerade i enlighet med denna bestämmelse innehåller andras – av förordningen skyddade – personuppgifter eller att den innehåller företagshemligheter, så är den personuppgiftsansvarige skyldig att överlämna den påstått skyddade informationen till behörig tillsynsmyndighet eller domstol, på vilka det ankommer att göra en avvägning mellan berörda motstående rättigheter och intressen för att fastställa omfattningen av den registrerades rätt till tillgång enligt artikel 15 i dataskyddsförordningen.
(
1
)	Dom av den 7 december 2023, SCHUFA Holding m.fl. (Scoring) (C‑634/21, EU:C:2023:957).
(
2
)	Artikel 15.1 h i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, och rättelse i EUT L 127, 2018, s. 2).
(
3
)	Detta krav följer av artikel 12.1 i dataskyddsförordningen.
(
4
)	I synnerhet enligt artikel 22.3 i förordningen
(
5
)	I den mening som avses i artikel 2.1 i Europaparlamentets och rådets direktiv (EU) 2016/943 av den 8 juni 2016 om skydd mot att icke röjd know-how och företagsinformation (företagshemligheter) olagligen anskaffas, utnyttjas och röjs (EUT L 157, 2016, s. 1).
(
6
)	Dom av den 2 mars 2023, Norra Stockholm Bygg (C‑268/21, EU:C:2023:145, punkt 58).
(
7
)	Se, för ett liknande resonemang, dom av den 7 december 2023, SCHUFA Holding m.fl. (Scoring) (C‑634/21, EU:C:2023:957, punkt 70) och där angiven rättspraxis.