62022CJ0203_RES
Kawża C‑203/22
CK
vs
Magistrat der Stadt Wien
(talba għal deċiżjoni preliminari, imressqa mill-Verwaltungsgericht Wien)
Sentenza tal-Qorti tal-Ġustizzja (L‑Ewwel Awla) tas‑27 ta’ Frar 2025
“Rinviju għal deċiżjoni preliminari – Protezzjoni tad-data personali – Regolament (UE) 2016/679 – Artikolu 15(1)(h) – Teħid awtomatizzat ta’ deċiżjoni, inkluż tfassil ta’ profili – ‘Scoring’ – Evalwazzjoni tas-solvenza ta’ persuna fiżika – Aċċess għall-informazzjoni importanti dwar il-loġika involuta fit-tfassil ta’ profili – Verifika tal-eżattezza tal-informazzjoni pprovduta – Direttiva (UE) 2016/943 – Il-punt 1 tal-Artikolu 2 – Sigriet kummerċjali – Data personali ta’ terzi”
Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Dritt ta’ aċċess tas-suġġett tad-data għad-data personali tiegħu li tkun is-suġġett ta’ pproċessar – Teħid awtomatizzat ta’ deċiżjoni, inkluż tfassil ta’ profili – Dritt ta’ aċċess għall-informazzjoni importanti dwar il-loġika involuta fit-tfassil ta’ profili – Portata
(Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, Artikoli 12(1), 15(1)(h) u (3), u 22(1) u (3))
(ara l-punti 40 sa 43, 47, 48, 50, 58, 59, 61, 62, 66, u d-dispożittiv 1)
Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament 2016/679 – Dritt ta’ aċċess tas-suġġett tad-data għad-data personali tiegħu li tkun is-suġġett ta’ pproċessar – Teħid awtomatizzat ta’ deċiżjoni, inkluż tfassil ta’ profili – Dritt ta’ aċċess għall-informazzjoni importanti dwar il-loġika involuta fit-tfassil ta’ profili – Rispett tad-drittijiet u osservanza tal-libertajiet ta’ persuni oħra – Dritt għall-protezzjoni tad-data personali ta’ terzi u tas-sigriet kummerċjali – Ibbilanċjar tad-drittijiet u tal-interessi inkwistjoni mill-awtorità superviżorja kompetenti jew mill-qorti kompetenti
(Regolament tal-Parlament Ewropew u tal-Kunsill 2016/679, premessa 63 u Artikolu 15(1)(h); Direttiva tal-Parlament Ewropew u tal-Kunsill 2016/943, il-punt 1 tal-Artikolu 2)
(ara l-punti 72 sa 76, u d-dispożittiv 2)
Sunt
Adita b’talba għal deċiżjoni preliminari mill-Verwaltungsgericht Wien (il-Qorti Amministrattiva ta’ Vjenna, l-Awstrija), il-Qorti tal-Ġustizzja żviluppat il-ġurisprudenza reċenti tagħha dwar id-drittijiet tal-persuni kkonċernati minn tfassil ta’ profili bil-għan tal-evalwazzjoni tas-solvenza tagħhom (
1
). Minn naħa, hija ppreċiżat il-limiti tad-dritt ta’ aċċess tas-suġġett tad-data għall-informazzjoni relatata mal-ipproċessar tad-data tiegħu. Min-naħa l-oħra, hija tat deċiżjoni dwar l-ibbilanċjar ta’ dan id-dritt mad-dritt għall-protezzjoni tad-data ta’ terzi jew tas-sigrieti kummerċjali.
Operatur ta’ telefonija mobbli rrifjuta li jikkonkludi ma’ CK jew li jestendi fir-rigward tagħha kuntratt ta’ telefonija mobbli. Dan ir-rifjut kien ibbażat fuq evalwazzjoni awtomatizzata tal-kreditu tagħha, imwettqa minn D & B, impriża speċjalizzata fil-provvista ta’ tali evalwazzjonijiet.
Permezz tad-deċiżjoni tagħha, l-awtorità għall-protezzjoni tad-data Awstrijaka ordnat lil D & B tipprovdi lil CK informazzjoni importanti dwar il-loġika involuta fit-teħid awtomatizzat ta’ deċiżjoni bbażata fuq id-data personali ta’ din tal-aħħar. Ir-rikors, ippreżentat minn D & B kontra din id-deċiżjoni, ġie miċħud permezz tad-deċiżjoni tat‑23 ta’ Ottubru 2019 tal-Bundesverwaltungsgericht (il-Qorti Amministrattiva Federali, l-Awstrija). Issa, il-Magistrat der Stadt Wien (l-Amministrazzjoni Muniċipali tal-Belt ta’ Vjenna, l-Awstrija) ċaħdet it-talba għall-eżekuzzjoni forzata ta’ din id-deċiżjoni ġudizzjarja mressqa minn CK.
Adita minn CK b’rikors kontra d-deċiżjoni ta’ din l-amministrazzjoni muniċipali, il-qorti tar-rinviju talbet lill-Qorti tal-Ġustizzja tiċċara l-portata tal-informazzjoni li għandha tiġi pprovduta lis-suġġett tad-data sabiex id-dritt ta’ aċċess tiegħu previst mir-Regolament Ġenerali dwar il-Protezzjoni tad-Data (
2
) jkun iggarantit b’mod sħiħ. Hija talbitha wkoll tippreċiża jekk u sa fejn l-eċċezzjoni bbażata fuq l-eżistenza ta’ sigriet kummerċjali hijiex ta’ natura li tirrestrinġi dan id-dritt.
Il-kunsiderazzjonijiet tal-Qorti tal-Ġustizzja
Fl-ewwel lok, billi ċċarat id-dritt tal-persuna affettwata minn deċiżjoni awtomatizzata, inkluż it-tfassil ta’ profili, li taċċedi għall-“informazzjoni importanti dwar il-loġika involuta”, fis-sens tal-Artikolu 15(1)(h) tal-GDPR, il-Qorti tal-Ġustizzja, abbażi tal-verżjonijiet lingwistiċi differenti ta’ din id-dispożizzjoni, qieset li l-formulazzjoni tagħha tirreferi għal kull informazzjoni rilevanti relatata mal-proċedura u mal-prinċipji ta’ użu, b’mod awtomatizzat, ta’ data personali bil-għan li jinkiseb minnha riżultat speċifiku.
Il-Qorti tal-Ġustizzja rrilevat sussegwentement li l-interpretazzjoni kuntestwali ta’ din l-istess dispożizzjoni tal-GDPR tikkorrobora l-interpretazzjoni letterali tagħha u li, barra minn hekk, l-obbligu ta’ trasparenza li japplika għad-data u għall-informazzjoni kollha, inkluża dik marbuta mat-teħid awtomatizzat ta’ deċiżjoni (
3
), jeżiġi li din l-informazzjoni tkun pprovduta b’mod konċiż, trasparenti, komprensibbli u faċilment aċċessibbli.
Barra minn hekk, il-Qorti tal-Ġustizzja enfasizzat li mill-eżami tal-għanijiet tal-GDPR u, b’mod partikolari, minn dawk tal-Artikolu 15(1)(h) tiegħu jirriżulta li d-dritt li tinkiseb “informazzjoni importanti dwar il-loġika involuta” f’teħid awtomatizzat ta’ deċiżjoni, fis-sens ta’ din id-dispożizzjoni, għandu jinftiehem bħala dritt għall-ispjegazzjoni tal-proċedura u tal-prinċipji applikati b’mod konkret sabiex tintuża, b’mod awtomatizzat, id-data personali tas-suġġett tad-data bil-għan li jinkiseb minnha riżultat speċifiku, bħal profil ta’ solvenza. Sabiex is-suġġett tad-data jkun jista’ jeżerċita b’mod effikaċi d-drittijiet mogħtija lilu mill-GDPR (
4
), din l-ispjegazzjoni għandha tkun ipprovduta, permezz ta’ informazzjoni rilevanti u b’mod konċiż, trasparenti, komprensibbli u faċilment aċċessibbli. La s-sempliċi komunikazzjoni ta’ formola matematika kumplessa, bħal algoritmu, u lanqas id-deskrizzjoni ddettaljata tal-istadji kollha ta’ teħid awtomatizzat ta’ deċiżjoni ma jistgħu jissodisfaw dawn ir-rekwiżiti, sa fejn ebda waħda minn dawn il-modalitajiet ma tikkostitwixxi spjegazzjoni suffiċjentement konċiża u komprensibbli.
Il-Qorti tal-Ġustizzja kkonkludiet li l-“informazzjoni importanti dwar il-loġika involuta” f’teħid awtomatizzat ta’ deċiżjoni, fis-sens tal-Artikolu 15(1)(h) tal-GDPR, għandha tiddeskrivi l-proċedura u l-prinċipji konkretament applikati b’tali mod li s-suġġett tad-data jkun jista’ jifhem liema mid-data personali tiegħu tkun intużat b’liema mod waqt it-teħid awtomatizzat ta’ deċiżjoni inkwistjoni, mingħajr ma l-kumplessità tal-operazzjonijiet li għandhom jitwettqu fil-kuntest ta’ teħid awtomatizzat ta’ deċiżjoni tkun tista’ teħles lill-kontrollur mid-dmir tiegħu ta’ spjegazzjoni.
Hija ppreċiżat, fir-rigward speċifikament ta’ tfassil ta’ profili bħal dak inkwistjoni fil-kawża prinċipali, li il-qorti tar-rinviju setgħet, b’mod partikolari, tqis bħala suffiċjentement trasparenti u komprensibbli l-fatt li s-suġġett tad-data jkun informat dwar sa fejn varjazzjoni fil-livell tad-data personali meħuda inkunsiderazzjoni kienet wasslet għal riżultat differenti.
Fit-tieni lok, fir-rigward tal-ibbilanċjar tad-dritt ta’ aċċess iggarantit mill-GDPR mad-dritt għall-protezzjoni tad-data ta’ terzi jew tas-sigrieti kummerċjali (
5
), il-Qorti tal-Ġustizzja bdiet billi fakkret il-ġurisprudenza tagħha li tgħid li qorti nazzjonali tista’ tqis li data personali tal-partijiet jew ta’ terzi għandha tiġi kkomunikata lilha sabiex hija tkun tista’ tibbilanċja, b’għarfien sħiħ tal-fatti u fl-osservanza tal-prinċipju ta’ proporzjonalità, l-interessi inkwistjoni. Din l-evalwazzjoni tista’, jekk ikun il-każ, twassalha tawtorizza l-iżvelar sħiħ jew parzjali lill-parti l-oħra tad-data personali li għaldaqstant tkun ġiet ikkomunikata lilha jekk hija tkun tqis li tali żvelar ma jkunx imur lil hinn minn dak li jkun neċessarju għall-finijiet li tiġi ggarantita t-tgawdija effettiva tad-drittijiet li l-partijiet fil-kawża jisiltu mill-Artikolu 47 tal-Karta tad-Drittijiet Fundamentali tal-Unjoni Ewropea (
6
).
Sussegwentement, hija indikat li din il-ġurisprudenza hija kompletament trasponibbli għall-każ li fih l-informazzjoni li jkollha tiġi pprovduta lis-suġġett tad-data abbażi tad-dritt ta’ aċċess iggarantit mill-Artikolu 15(1)(h) tal-GDPR tkun tista’ twassal għal ksur tad-drittijiet u tal-libertajiet ta’ persuni oħra, b’mod partikolari sa fejn din tkun tinkludi data personali ta’ terzi protetta mill-imsemmi regolament jew minn sigriet kummerċjali. F’dan il-każ ukoll, l-imsemmija informazzjoni għandha tiġi kkomunikata lill-awtorità superviżorja jew lill-qorti kompetenti, li għandhom jibbilanċjaw id-drittijiet u l-interessi inkwistjoni sabiex tiġi ddeterminata l-portata tad-dritt ta’ aċċess tas-suġġett tad-data għad-data personali li tkun tikkonċernah.
Hija kkonstatat li, fir-rigward tan-neċessità ta’ tali determinazzjoni każ b’każ, l-Artikolu 15(1)(h) tal-GDPR jopponi b’mod partikolari l-applikazzjoni ta’ dispożizzjoni nazzjonali li tkun teskludi, bħala prinċipju, id-dritt ta’ aċċess tas-suġġett tad-data meta dan l-aċċess ikun jikkomprometti sigriet kummerċjali jew ta’ impriża tal-kontrollur jew ta’ terz. F’dan ir-rigward, il-Qorti tal-Ġustizzja fakkret li Stat Membru ma jistax jippreskrivi b’mod definittiv ir-riżultat ta’ bbilanċjar każ b’każ tad-drittijiet u tal-interessi inkwistjoni impost mid-dritt tal-Unjoni (
7
).
Bħala konklużjoni, il-Qorti tal-Ġustizzja ddeċidiet li l-Artikolu 15(1)(h) tal-GDPR għandu jiġi interpretat fis-sens li, fil-każ li l-kontrollur ikun iqis li l-informazzjoni li għandha tiġi pprovduta lis-suġġett tad-data konformement ma’ din id-dispożizzjoni tkun tinkludi data ta’ terz protetta minn dan ir-regolament jew sigrieti kummerċjali, dan il-kontrollur ikollu l-obbligu jikkomunika din l-informazzjoni allegatament protetta lill-awtorità superviżorja jew lill-qorti kompetenti, li għandhom jibbilanċjaw id-drittijiet u l-interessi inkwistjoni sabiex tiġi ddeterminata l-portata tad-dritt ta’ aċċess tas-suġġett tad-data previst fl-Artikolu 15 tal-GDPR.
(
1
)	Sentenza tas‑7 ta’ Diċembru 2023, SCHUFA Holding et (Scoring) (C‑634/21, EU:C:2023:957).
(
2
)	Artikolu 15(1)(h) tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2, iktar ’il quddiem il-“GDPR”).
(
3
)	Previst fl-Artikolu 12(1) tal-GDPR.
(
4
)	B’mod partikolari, l-Artikolu 22(3) tal-GDPR.
(
5
)	Fis-sens tal-punt 1 tal-Artikolu 2 tad-Direttiva (UE) 2016/943 tal-Parlament Ewropew u tal-Kunsill tat‑8 ta’ Ġunju 2016 dwar il-protezzjoni ta’ konoxxenza u ta’ informazzjoni kummerċjali kunfidenzjali (sigrieti kummerċjali) kontra l-ksib, l-użu u l-iżvelar illegali tagħhom (ĠU 2016, L 157, p. 1).
(
6
)	Sentenza tat‑2 ta’ Marzu 2023, Norra Stockholm Bygg (C‑268/21, EU:C:2023:145, punt 58).
(
7
)	Ara, f’dan is-sens, is-sentenza tas‑7 ta’ Diċembru 2023, SCHUFA Holding et (Scoring), C‑634/21, EU:C:2023:957, punt 70 kif ukoll il-ġurisprudenza ċċitata).