62022CJ0203_RES
Kohtuasi C‑203/22
CK
versus
Magistrat der Stadt Wien
(eelotsusetaotlus, mille on esitanud Verwaltungsgericht Wien)
Euroopa Kohtu (esimene koda) 27. veebruari 2025. aasta otsus
Eelotsusetaotlus – Isikuandmete kaitse – Määrus (EL) 2016/679 – Artikli 15 lõike 1 punkt h – Automatiseeritud otsuste tegemine, sealhulgas profiilianalüüs – Scoring – Füüsilise isiku maksevõime hindamine – Tutvumine sisulise teabega profiilianalüüsi aluseks oleva loogika kohta – Esitatud teabe õigsuse kontrollimine – Direktiiv (EL) 2016/943 – Artikli 2 punkt 1 – Ärisaladus – Kolmandate isikute isikuandmed
Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Andmesubjekti õigus tutvuda teda puudutavate töödeldavate andmetega – Automatiseeritud otsuste tegemine, sealhulgas profiilianalüüs – Õigus tutvuda sisulise teabega profiilianalüüsi aluseks oleva loogika kohta – Ulatus
(Euroopa Parlamendi ja nõukogu määrus 2016/679, artikli 12 lõige 1, artikli 15 lõike 1 punkt h ja lõige 3 ning artikli 22 lõiked 1 ja 3)
(vt punktid 40–43, 47, 48, 50, 58, 59, 61, 62 ja 66 ning resolutsiooni punkt 1)
Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Andmesubjekti õigus tutvuda teda puudutavate töödeldavate andmetega – Automatiseeritud otsuste tegemine, sealhulgas profiilianalüüs – Õigus tutvuda sisulise teabega profiilianalüüsi aluseks oleva loogika kohta – Teiste isikute õiguste ja vabaduste austamine – Õigus kolmandate isikute isikuandmete ja ärisaladuse kaitsele – Vastanduvate õiguste ja huvide kaalumine pädeva järelevalveasutuse või kohtu poolt
(Euroopa Parlamendi ja nõukogu määrus 2016/679, põhjendus 63 ning artikli 15 lõike 1 punkt h; Euroopa Parlamendi ja nõukogu direktiiv 2016/943, artikli 2 punkt 1)
(vt punktid 72–76 ja resolutsiooni punkt 2)
Kokkuvõte
Euroopa Kohus, kellele Verwaltungsgericht Wien (Viini halduskohus, Austria) esitas eelotsusetaotluse, arendas edasi oma hiljutist kohtupraktikat, mis käsitleb nende andmesubjektide õigusi, kelle maksevõimet hinnatakse profiilianalüüsi abil (
1
). Ühest küljest täpsustas ta, millise ulatusega on andmesubjekti õigus tutvuda tema kohta käivate andmete töötlemist puudutava teabega. Teisest küljest selgitas ta, kuidas tuleb seda õigust kaaluda kolmandate isikute õigusega andmete või ärisaladuste kaitsele.
Mobiilsideoperaator keeldus CK‑ga sõlmimast või pikendamast mobiilside lepingut. Keeldumine põhines CK kohta automatiseeritult koostatud krediidihinnangul, mis pärines D & B‑lt, kes on selliste hinnangute andmisele spetsialiseerunud ettevõtja.
Austria andmekaitseasutus kohustas oma otsusega D & B‑d andma CK‑le sisulist teavet tema isikuandmetel põhineva automatiseeritud otsuse tegemisel kasutatud loogika kohta. Bundesverwaltungsgericht (föderaalne halduskohus, Austria) jättis D & B poolt selle otsuse peale esitatud kaebuse 23. oktoobri 2019. aasta otsusega rahuldamata. Magistrat der Stadt Wien (Viini linnavalitsus, Austria) jättis aga rahuldamata CK esitatud taotluse selle kohtuotsuse sundtäitmiseks.
Eelotsusetaotluse esitanud kohus, kellele CK esitas selle linnavalitsuse otsuse peale kaebuse, palus Euroopa Kohtul selgitada selle teabe ulatust, mis tuleb andmesubjektile anda, et isikuandmete kaitse üldmääruses ette nähtud õigus andmetega tutvuda (
2
) oleks täielikult tagatud. Samuti palus ta Euroopa Kohtul täpsustada, kas ja mil määral võib ärisaladuse olemasolul põhinev erand seda õigust piirata.
Euroopa Kohtu hinnang
Esimesena leidis Euroopa Kohus, selgitades automatiseeritud otsusest, sealhulgas profiilianalüüsist mõjutatud isiku õigust tutvuda „sisulise teabega kasutatava loogika kohta“ isikuandmete kaitse üldmääruse artikli 15 lõike 1 punkti h tähenduses, selle sätte eri keeleversioonide põhjal, et selle sõnastus viitab mis tahes asjakohasele teabele, mis puudutab teatud tulemuse saamiseks kasutatavaid isikuandmete automatiseeritud töötlemise menetlust ja põhimõtteid.
Seejärel märkis Euroopa Kohus, et isikuandmete kaitse üldmääruse sama sätte kontekstipõhine tõlgendus kinnitab selle sätte grammatilist tõlgendust ning lisaks nõuab läbipaistvuskohustus, mis kehtib kõigi andmete ja kogu teabe suhtes, sealhulgas automatiseeritud otsuste tegemisega seotud teabe suhtes (
3
), et see teave esitataks kokkuvõtlikult, selgelt, arusaadavalt ja lihtsasti kättesaadavas vormis.
Lisaks rõhutas Euroopa Kohus, et isikuandmete kaitse üldmääruse eesmärkide ja eelkõige selle artikli 15 lõike 1 punkti h eesmärkide analüüsist nähtub, et õigust saada selle sätte tähenduses „sisulist teavet“ automatiseeritud otsuste tegemisel „kasutatava loogika kohta“ tuleb mõista õigusena selgitusele menetluse ja põhimõtete kohta, mida konkreetselt rakendatakse andmesubjekti isikuandmete automatiseeritud töötlemisel teatud tulemuse, näiteks krediidiprofiili saamiseks. Selleks et andmesubjekt saaks tõhusalt kasutada talle isikuandmete kaitse üldmäärusest tulenevaid õigusi (
4
), tuleb see selgitus esitada asjakohase teabe abil ning kokkuvõtlikult, selgelt, arusaadavalt ja lihtsasti kättesaadavas vormis. Nendele nõuetele ei saa vastata pelgalt sellise keerulise matemaatilise valemi nagu algoritm edastamine ega automatiseeritud otsuse tegemise kõigi etappide üksikasjalik kirjeldus, kuna kumbki neist ei kujuta endast piisavalt kokkuvõtlikku ja arusaadavat selgitust.
Euroopa Kohus järeldas, et „sisuline teave“ automatiseeritud otsuste tegemisel „kasutatava loogika kohta“ isikuandmete kaitse üldmääruse artikli 15 lõike 1 punkti h tähenduses peab kirjeldama konkreetselt kasutatud menetlust ja põhimõtteid nii, et andmesubjekt mõistaks, milliseid tema isikuandmeid on kõnealuse automatiseeritud otsuse tegemise käigus millisel viisil kasutatud, ilma et automatiseeritud otsuse tegemise raames tehtavate toimingute keerukus vabastaks vastutavat töötlejat selgitamiskohustusest.
Ta täpsustas konkreetselt sellise profiilianalüüsi kohta, nagu oli kõnealuses asjas vaidluse all, et eelotsusetaotluse esitanud kohus võib muu hulgas pidada piisavalt läbipaistvaks ja arusaadavaks andmesubjekti teavitamist sellest, mil määral oleks arvessevõetud isikuandmete varieerumine viinud teistsuguse tulemuseni.
Mis teisena puudutab isikuandmete kaitse üldmäärusega tagatud andmetega tutvumise õiguse kaalumist kolmandate isikute õigusega andmete või ärisaladuste kaitsele (
5
), siis kõigepealt tuletas Euroopa Kohus meelde oma kohtupraktikat, mille kohaselt võib liikmesriigi kohus asuda seisukohale, et talle tuleb edastada poolte või kolmandate isikute isikuandmed, et ta saaks kõiki asjaolusid teades ja proportsionaalsuse põhimõtet järgides kaaluda asjas esinevaid huve. Selle hindamise tulemusel võib ta vajaduse korral anda loa talle edastatud isikuandmete täielikuks või osaliseks avalikustamiseks vastaspoolele, kui ta leiab, et selline avalikustamine ei lähe kaugemale sellest, mis on vajalik isikutele Euroopa Liidu põhiõiguste harta artiklist 47 tulenevate õiguste tõhusa kasutamise tagamiseks (
6
).
Seejärel märkis ta, et see kohtupraktika on täielikult ülekantav olukorrale, kus teave, mis tuleb andmesubjektile isikuandmete kaitse üldmääruse artikli 15 lõike 1 punktiga h tagatud õiguse alusel anda, võib kahjustada teiste isikute õigusi ja vabadusi, eelkõige seetõttu, et see sisaldab selle määrusega kaitstud kolmandate isikute isikuandmeid või ärisaladust. Ka sel juhul tuleb see teave edastada järelevalveasutusele või pädevale kohtule, kelle ülesanne on kaaluda vastanduvaid õigusi ja huve, et määrata kindlaks, millise ulatusega on andmesubjekti õigus tutvuda tema kohta käivate isikuandmetega.
Ta tõdes, et arvestades vajadust niisuguse juhtumipõhise kindlaksmääramise järele, on isikuandmete kaitse üldmääruse artikli 15 lõike 1 punktiga h vastuolus sellise riigisisese õigusnormi kohaldamine, mis üldjuhul välistab andmesubjekti õiguse tutvuda andmetega, kui see tutvumine ohustaks vastutava töötleja või kolmanda isiku ärisaladust. Sellega seoses tuletas Euroopa Kohus meelde, et kui liidu õiguses on ette nähtud vastanduvate õiguste ja huvide juhtumipõhine kaalumine, ei saa liikmesriik lõplikult ette kirjutada selle kaalumise tulemust (
7
).
Kokkuvõttes otsustas Euroopa Kohus, et isikuandmete kaitse üldmääruse artikli 15 lõike 1 punkti h tuleb tõlgendada nii, et kui vastutav töötleja leiab, et selle sätte kohaselt andmesubjektile esitatav teave sisaldab kolmandate isikute andmeid, mis on viidatud määrusega kaitstud, või ärisaladusi, on vastutav töötleja kohustatud edastama selle väidetavalt kaitstud teabe järelevalveasutusele või pädevale kohtule, kelle ülesanne on kaaluda vastanduvaid õigusi ja huve, et määrata kindlaks isikuandmete kaitse üldmääruse artikliga 15 andmesubjektile antud andmetega tutvumise õiguse ulatus.
(
1
)	7. detsembri 2023. aasta kohtuotsus SCHUFA Holding jt (Scoring) (C‑634/21, EU:C:2023:957).
(
2
)	Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; edaspidi „isikuandmete kaitse üldmäärus“) artikli 15 lõike 1 punkt h.
(
3
)	Osutatud isikuandmete kaitse üldmääruse artikli 12 lõikes 1.
(
4
)	Eelkõige isikuandmete kaitse üldmääruse artikli 22 lõige 3.
(
5
)	Euroopa Parlamendi ja nõukogu 8. juuni 2016. aasta direktiivi (EL) 2016/943, milles käsitletakse avalikustamata oskusteabe ja äriteabe (ärisaladuste) ebaseadusliku omandamise, kasutamise ja avalikustamise vastast kaitset (ELT 2016, L 157, lk 1), artikli 2 punkti 1 tähenduses.
(
6
)	2. märtsi 2023. aasta kohtuotsus Norra Stockholm Bygg (C‑268/21, EU:C:2023:145, punkt 58).
(
7
)	Vt selle kohta 7. detsembri 2023. aasta kohtuotsus SCHUFA Holding jt (Scoring) (C‑634/21, EU:C:2023:957, punkt 70 ning seal viidatud kohtupraktika).