62022CJ0203_RES
Zadeva C‑203/22
CK
proti
Magistrat der Stadt Wien
(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Verwaltungsgericht Wien)
Sodba Sodišča (prvi senat) z dne 27. februarja 2025
„Predhodno odločanje – Varstvo osebnih podatkov – Uredba (EU) 2016/679 – Člen 15(1)(h) – Avtomatizirano sprejemanje odločitev, vključno z oblikovanjem profilov – ‚Scoring‘ – Ocena plačilne sposobnosti fizične osebe – Dostop do smiselnih informacij o razlogih za oblikovanje profilov – Preverjane točnosti posredovanih podatkov – Direktiva (EU) 2016/943 – Člen 2, točka 1 – Poslovna skrivnost – Osebni podatki tretjih oseb“
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pravica posameznika, na katerega se nanašajo osebni podatki, do dostopa do svojih podatkov, ki se obdelujejo – Avtomatizirano sprejemanje odločitev, vključno z oblikovanjem profilov – Dostop do smiselnih informacij o razlogih za oblikovanje profilov – Obseg
(Uredba Evropskega parlamenta in Sveta 2016/679, členi 12(1), 15(1)(h) in (3) ter 22(1) in (3))
(Glej točke od 40 do 43, 47, 48, 50, 58, 59, 61, 62, 66 in točko 1 izreka.)
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pravica posameznika, na katerega se nanašajo osebni podatki, do dostopa do svojih podatkov, ki se obdelujejo – Avtomatizirano sprejemanje odločitev, vključno z oblikovanjem profilov – Dostop do smiselnih informacij o razlogih za oblikovanje profilov – Spoštovanje pravic in svoboščin drugih – Pravica do varstva osebnih podatkov tretjih oseb in poslovna skrivnost – Tehtanje zadevnih pravic in interesov, ki ga opravita pristojni nadzorni organ ali sodišče
(Uredba Evropskega parlamenta in Sveta 2016/679, uvodna izjava 63, člen 15(1)(h); Direktiva Evropskega parlamenta in Sveta 2016/943, člen 2, točka 1)
(Glej točke od 72 do 76 in točko 2 izreka.)
Povzetek
Sodišče, pri katerem je Verwaltungsgericht Wien (upravno sodišče na Dunaju, Avstrija) vložilo predlog za sprejetje predhodne odločbe, je razvilo svojo nedavno sodno prakso v zvezi s pravicami oseb, na katere se nanaša oblikovanje profilov z namenom ocene njihove plačilne sposobnosti. (
1
) Prvič, pojasnilo je obseg pravice posameznika, na katerega se nanašajo osebni podatki, do dostopa do informacij v zvezi z obdelavo teh podatkov. Drugič, odločilo je o uravnoteženju te pravice s pravico do varstva podatkov tretjih oseb ali poslovnih skrivnosti.
Osebi CK je operater mobilne telefonije zavrnil sklenitev oziroma podaljšanje pogodbe o naročniškem razmerju za mobilne komunikacijske storitve. Ta zavrnitev je bila utemeljena z bonitetno oceno, ki jo je z avtomatiziranimi sredstvi pripravila družba D & B – podjetje, specializirano za podajanje takih ocen.
Avstrijski organ za varstvo podatkov je z odločbo družbi D & B odredil, naj osebi CK posreduje smiselne informacije o razlogih za avtomatizirano sprejemanje odločitev na podlagi njenih osebnih podatkov. Bundesverwaltungsgericht (zvezno upravno sodišče, Avstrija) je tožbo, ki jo je družba D & B vložila zoper to odločbo, z odločbo z dne 23. oktobra 2019 zavrnilo. Magistrat der Stadt Wien (občinska uprava mesta Dunaj, Avstrija) pa je zavrnila predlog za izvršbo te sodne odločbe, ki ga je vložila oseba CK.
Predložitveno sodišče, pri katerem je oseba CK vložila tožbo zoper odločbo te občinske uprave, Sodišče prosi za pojasnitev obsega informacij, ki jih je treba zagotoviti posamezniku, na katerega se nanašajo osebni podatki, da je njegova pravica do dostopa iz Splošne uredbe o varstvu podatkov (
2
) v celoti zagotovljena. Prosi ga tudi za pojasnilo, ali in v kolikšnem obsegu se lahko ta pravica omeji z izjemo, ki se nanaša na obstoj poslovne skrivnosti.
Presoja Sodišča
Na prvem mestu, Sodišče je po tem, ko je pojasnilo pravico osebe, na katero se nanaša avtomatizirana odločitev, vključno z oblikovanjem profilov, do dostopa do „smiselnih informacij o razlogih za oblikovanje profilov“ iz člena 15(1)(h) SUVP, na podlagi različnih jezikovnih različic te določbe menilo, da se ta določba nanaša na vse upoštevne informacije v zvezi s postopkom in načeli, ki so bili uporabljeni za avtomatizirano obdelavo osebnih podatkov za pridobitev določenega rezultata.
Sodišče je nato ugotovilo, da sistematična razlaga te določbe SUVP potrjuje njeno jezikovno razlago in da obveznost preglednosti – ki velja za vse podatke in informacije, vključno s tistimi, ki so povezani z avtomatiziranim sprejetjem odločitve (
3
) – poleg tega zahteva, da so te informacije zagotovljene v jedrnati, pregledni, razumljivi in lahko dostopni obliki.
Sodišče je poleg tega poudarilo, da iz preučitve ciljev SUVP in zlasti iz preučitve ciljev člena 15(1)(h) te uredbe izhaja, da je treba „smiselne informacije o razlogih“ za avtomatizirano sprejetje odločitve v smislu te določbe razumeti kot pravico do pojasnila postopka in načel, ki so bili konkretno uporabljeni za avtomatizirano obdelavo osebnih podatkov posameznika, na katerega se nanašajo osebni podatki, za pridobitev določenega rezultata, kot je profil plačilne sposobnosti. Da se posamezniku, na katerega se nanašajo osebni podatki, omogoči učinkovito uveljavljanje pravic, ki mu jih zagotavlja SUVP, (
4
) mora biti to pojasnilo podano tako, da se mu posredujejo upoštevne informacije v jedrnati, pregledni, razumljivi in lahko dostopni obliki. Zgolj posredovanje zapletene matematične formule, kot je algoritem, ali podroben opis vseh faz avtomatiziranega sprejetja odločitve – če se z nobenim od teh načinov ne zagotovi dovolj jedrnata in razumljiva razlaga – ne izpolnjuje teh zahtev.
Sodišče je sklenilo, da morajo biti v „smiselnih informacijah o razlogih“ za avtomatizirano sprejetje odločitve v smislu člena 15(1)(h) SUVP opisani konkretno uporabljeni postopek in načela, in sicer tako, da lahko posameznik, na katerega se nanašajo osebni podatki, razume, kateri osebni podatki so bili uporabljeni pri avtomatiziranemu sprejetju odločitve in na kakšen način, pri čemer zapletenost postopkov, ki jih je treba izvesti v okviru avtomatiziranega sprejemanja odločitev, upravljavca ne razbremeni obveznosti pojasnila.
V zvezi z oblikovanjem profilov, kakršno je to iz postopka v glavni stvari, je pojasnilo, da bi lahko predložitveno sodišče med drugim kot dovolj pregledno in razumljivo štelo dejstvo, da je posameznik, na katerega se nanašajo osebni podatki, obveščen o obsegu, v katerem bi sprememba na ravni upoštevanih osebnih podatkov pripeljala do drugačnega rezultata.
Na drugem mestu, Splošno sodišče je v zvezi z uravnoteženjem pravice do dostopa, zagotovljene s SUVP, in pravice do varstva podatkov tretjih oseb ali poslovnih skrivnosti (
5
) najprej spomnilo na svojo sodno prakso, v skladu s katero lahko nacionalno sodišče presodi, da mu je treba posredovati osebne podatke strank ali tretjih oseb, da bi lahko ob popolnem poznavanju dejstev in ob spoštovanju načela sorazmernosti pretehtalo zadevne interese. Na podlagi te presoje lahko, odvisno od primera, dovoli, da se nasprotni stranki v celoti ali delno razkrijejo osebni podatki, ki so mu bili tako posredovani, če ugotovi, da tako razkritje ne presega tega, kar je nujno za zagotovitev dejanskega uresničevanja pravic, ki jih imajo posamezniki na podlagi člena 47 Listine Evropske unije o temeljnih pravicah (
6
).
Dalje, navedlo je, da se ta sodna praksa lahko v celoti uporablja v primeru, v katerem se lahko z informacijami, ki jih je treba posredovati posamezniku, na katerega se nanašajo osebni podatki, na podlagi člena 15(1)(h) SUVP, ogrozijo pravice in svoboščine drugih, zlasti ker vsebujejo osebne podatke tretjih oseb, zaščitene s to uredbo ali s poslovno skrivnostjo. Tudi v takem primeru je treba navedene informacije posredovati pristojnemu nadzornemu organu ali sodišču, ki morata pretehtati zadevne pravice in interese, da določita obseg pravice posameznika, na katerega se nanašajo osebni podatki, do dostopa do osebnih podatkov v zvezi z njim.
Ugotovilo je, da ob upoštevanju nujnosti take določitve v vsakem posameznem primeru člen 15(1)(h) SUVP med drugim nasprotuje uporabi nacionalne določbe, ki načeloma izključuje pravico do dostopa posameznika, na katerega se nanašajo osebni podatki, kadar bi bila z zagotovitvijo tega dostopa ogrožena poslovna skrivnost, skrivnost upravljavca oziroma tretjih oseb. Sodišče je v zvezi s tem spomnilo, da država članica ne more dokončno določiti izida tehtanja zadevnih pravic in interesov v posameznih primerih, ki se zahteva s pravom Unije. (
7
)
Sodišče je na koncu razsodilo, da je treba člen 15(1)(h) SUVP razlagati tako, da mora upravljavec – kadar meni, da informacije, ki jih je treba zagotoviti posamezniku, na katerega se nanašajo osebni podatki, v skladu s to določbo vsebujejo osebne podatke tretjih oseb, varovane s to uredbo ali s poslovno skrivnostjo – te domnevno varovane informacije posredovati pristojnemu nadzornemu organu ali sodišču, ki morata pretehtati med zadevnimi pravicami in interesi, da določita obseg pravice posameznika, na katerega se nanašajo osebni podatki, do dostopa iz člena 15 SUVP.
(
1
)	Sodba z dne 7. decembra 2023, SCHUFA Holding in drugi (Scoring) (C‑634/21, EU:C:2023:957).
(
2
)	Člen 15(1)(h) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, v nadaljevanju: SUVP).
(
3
)	Določeno v členu 12(1) SUVP.
(
4
)	Natančneje, člen 22(3) SUVP.
(
5
)	V smislu člena 2, točka 1, Direktive (EU) 2016/943 Evropskega parlamenta in Sveta z dne 8. junija 2016 o varstvu nerazkritega strokovnega znanja in izkušenj ter poslovnih informacij (poslovnih skrivnosti) pred njihovo protipravno pridobitvijo, uporabo in razkritjem (UL 2016, L 157, str. 1).
(
6
)	Sodba z dne 2. marca 2023, Norra Stockholm Bygg (C‑268/21, EU:C:2023:145, točka 58).
(
7
)	Glej v tem smislu sodbo z dne 7. decembra 2023, SCHUFA Holding in drugi (Scoring) (C‑634/21, EU:C:2023:957, točka 70 in navedena sodna praksa).