62022CJ0203_RES
Дело C‑203/22
CK
срещу
Magistrat der Stadt Wien
(Преюдициално запитване, отправено от Verwaltungsgericht Wien)
Решение на Съда (първи състав) от 27 февруари 2025 година
„Преюдициално запитване — Защита на личните данни — Регламент (ЕС) 2016/679 — Член 15, параграф 1, буква з) — Автоматизирано вземане на решения, включително профилирането — „Scoring“ — Преценка на платежоспособността на физическо лице — Достъп до съществената информация относно използваната логика за профилирането — Проверка на точността на предоставената информация — Регламент (ЕС) 2016/943 — Член 2, точка 1 — Търговска тайна — Лични данни на трети лица“
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Право на достъп на субекта на данни до неговите данни, които са в процес на обработване — Автоматизирано вземане на решения, включително профилирането — Право на достъп до съществената информация относно използваната логика за профилирането — Обхват
(член 12, параграф 1, член 15, параграф 1, буква з) и параграф 3 и член 22, параграфи 1 и 3 от Регламент 2016/679 на Европейския парламент и на Съвета)
(вж. т. 40—43, 47, 48, 50, 58, 59, 61, 62 и 66; т. 1 от диспозитива)
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Право на достъп на субекта на данни до неговите данни, които са в процес на обработване — Автоматизирано вземане на решения, включително профилирането — Право на достъп до съществената информация относно използваната логика за профилирането — Зачитане на правата и свободите на други лица — Право на защита на личните данни на трети лица и на търговската тайна — Претегляне на съответните права и интереси от компетентния наздорен орган или съд
(съображение 63 и член 15, параграф 1, буква з) от Регламент 2016/679 на Европейския парламент и на Съвета, член 2, точка 1 от Директива 2016/943 на Европейския парламент и на Съвета)
(вж. т. 72—76; т. 2 от диспозитива)
Резюме
Сезиран с преюдициално запитване от Verwaltungsgericht Wien (Административен съд Виена, Австрия), Съдът развива неотдавнашната си практика относно правата на лицата, засегнати от профилиране с цел преценката на тяхната платежоспособност (
1
). От една страна, той уточнява границите на правото на достъп на субекта на данните до информацията, свързана с обработването на неговите данни. От друга страна, той се произнася по баланса между това право и правото на защита на данните на трети лица или на търговските тайни.
Мобилен телефонен оператор отказва на CK сключването или продължаването на договор за мобилни телефонни услуги. Отказът се основава на автоматизирана кредитна оценка, извършена от D & B — предприятие, специализирано в предоставянето на такива оценки.
С решението си австрийския орган за защита на данните разпорежда на D & B да предостави на CK съществената информация относно използваната логика за автоматизираното вземане на решения, основано на личните данни на CK. С решение от 23 октомври 2019 г. на Bundesverwaltungsgericht (Федерален административен съд, Австрия) жалбата на D & B срещу това решение е отхвърлена. Magistrat der Stadt Wien (общинска администрация на град Виена, Австрия) обаче отхвърля молбата на CK за принудително изпълнение на това съдебно решение.
Сезирана от CK с жалба срещу решението на тази общинска администрация, запитващата юрисдикция иска от Съда да поясни обхвата на информацията, която трябва да бъде предоставена на субекта на данните, за да се гарантира напълно правото му на достъп, предвидено в Общия регламент относно защитата на данните (
2
). Тя иска също така да се уточни дали и в каква степен изключението, изведено от наличието на търговска тайна, може да ограничи това право.
Съображения на Съда
На първо място, като пояснява правото на лицето, засегнато от автоматизирано решение, включително профилиране, да получи достъп до „съществената информация относно използваната логика“ по смисъла на член 15, параграф 1, буква з) от ОРЗД, въз основа на текстовете на тази разпоредба на различните езици Съдът счита, че нейният текст се отнася до всяка релевантна информация относно процедурата и принципите за автоматизирано използване на лични данни с цел въз основа на тези данни да се получи определен резултат.
По-нататък Съдът отбелязва, че контекстуалното тълкуване на същата разпоредба от ОРЗД потвърждава буквалното ѝ тълкуване и че освен това задължението за прозрачност, което се прилага за всички данни и информация, включително свързаните с автоматизираното вземане на решения (
3
), изисква тази информация да бъде предоставена в кратка, прозрачна, разбираема и лесно достъпна форма.
Освен това Съдът подчертава, че от анализа на целите на ОРЗД, и по-специално на целите на член 15, параграф 1, буква з) от този регламент, следва, че правото да се получи „съществена информация относно използваната логика“ за автоматизираното вземане на решения по смисъла на тази разпоредба, трябва да се разбира като право на обяснение относно процедурата и принципите, конкретно приложени за автоматизираното използване на личните данни на субекта на данните с цел въз основа на тези данни да се получи определен резултат, като например кредитен профил. За да се даде възможност на субекта на данните да упражни ефективно правата, които му признава ОРЗД (
4
), това обяснение трябва да бъде предоставено чрез релевантна информация и в кратка, прозрачна, разбираема и лесно достъпна форма. На тези изисквания не може да отговори нито простото съобщаване на сложна математическа формула, като например алгоритъм, нито подробното описание на всички етапи на автоматизираното вземане на решения, доколкото никой от тези начини не представлява достатъчно кратко и разбираемо обяснение.
Съдът стига до извода, че „съществената информация относно използваната логика“ за автоматизираното вземане на решения по смисъла на член 15, параграф 1, буква з) от ОРЗД трябва да описва конкретно прилаганите процедура и принципи по такъв начин, че субектът на данните да може да разбере кои от неговите лични данни са били използвани и по какъв начин при разглежданото автоматизирано вземане на решения, като сложността на операциите, които трябва да се извършат в рамките на автоматизирано вземане на решения, не може да освободи администратора от задължението му за обяснение.
Що се отнася конкретно до профилиране като разглежданото в главното производство, Съдът уточнява, че запитващата юрисдикция би могла по-специално да приеме за достатъчно прозрачно и разбираемо уведомяването на субекта на данните за степента, в която промяна по отношение на взетите предвид лични данни е щяла до доведе до различен резултат.
На второ място, що се отнася до баланса между правото на достъп, гарантирано от ОРЗД, и правото на защита на данните на трети лица или на търговските тайни (
5
), Съдът най-напред припомня своята практика, съгласно която национален съд може да приеме, че личните данни на страните или на трети лица трябва да му бъдат съобщени, за да може да претегли съответните интереси при пълно познаване на фактите и при спазване на принципа на пропорционалност. След извършване на тази преценка той може евентуално да разреши пълното или частично разкриване на насрещната страна на поверените му лични данни, ако счита, че това разкриване не надхвърля необходимото за гарантиране на ефективното упражняване на правата, които правните субекти черпят от член 47 от Хартата на основните права на Европейския съюз (
6
).
По-нататък Съдът посочва, че тази съдебна практика е напълно приложима в хипотезата, в която информацията, която трябва да се предостави на субекта на данните въз основа на правото на достъп, гарантирано с член 15, параграф 1, буква з) от ОРЗД, може да повлияе неблагоприятно върху правата и свободите на други лица, по-специално доколкото съдържа лични данни на трети лица, защитени с посочения регламент, или търговска тайна. И в тази хипотеза посочената информация трябва да бъде съобщена на компетентния надзорен орган или съд, които трябва да претеглят съответните права и интереси, за да определят обхвата на правото на достъп на субекта на данните до отнасящите се до него лични данни.
Съдът констатира, че с оглед на необходимостта от такова определяне във всеки отделен случай член 15, параграф 1, буква з) от ОРЗД не допуска по-специално прилагането на национална разпоредба, която изключва по принцип правото на достъп на субекта на данните, когато този достъп би нарушил търговска или производствена тайна на администратора или на трето лице. В това отношение Съдът припомня, че държава членка не може да определя окончателно резултата от наложено от правото на Съюза претегляне във всеки отделен случай на съответните права и интереси (
7
).
В заключение Съдът постановява, че член 15, параграф 1, буква з) от ОРЗД трябва да се тълкува в смисъл, че в хипотезата, в която администраторът счита, че информацията, която трябва да се предостави на субекта на данните съгласно тази разпоредба, съдържа защитени с този регламент данни на трети лица или търговски тайни, този администратор е длъжен да съобщи тази информация, за която се твърди, че е защитена, на компетентния надзорен орган или съд, които трябва да претеглят съответните права и интереси, за да определят обхвата на правото на достъп на субекта на данните, предвидено в член 15 от ОРЗД.
(
1
)	Решение от 7 декември 2023 г., SCHUFA Holding и др. (Scoring) (C-634/21, EU:C:2023:957).
(
2
)	Член 15, параграф 1, буква з) от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L 119, 2016, стр. 1, наричан по-нататък „ОРДЗ“).
(
3
)	Посочено в член 12, параграф 1 от ОРЗД.
(
4
)	В частност член 22, параграф 3 от ОРЗД.
(
5
)	По смисъла на член 2, точка 1 от Директива (ЕС) 2016/943 на Европейския парламент и на Съвета от 8 юни 2016 година относно защитата на неразкрити ноу-хау и търговска информация (търговски тайни) срещу тяхното незаконно придобиване, използване и разкриване (ОВ L 157, 2016 г., стр. 1).
(
6
)	Решение от 2 март 2023 г., Norra Stockholm Bygg (C-268/21, EU:C:2023:145, т. 58).
(
7
)	Вж. в този смисъл решение от 7 декември 2023 г., SCHUFA Holding и др. (Scoring) (C-634/21, EU:C:2023:957, т. 70 и цитираната съдебна практика).