62022CJ0203_RES
Věc C‑203/22
CK
v.
Magistrat der Stadt Wien
(žádost o rozhodnutí o předběžné otázce, kterou podal Verwaltungsgericht Wien)
Rozsudek Soudního dvora (prvního senátu) ze dne 27. února 2025
„Řízení o předběžné otázce – Ochrana osobních údajů – Nařízení (EU) 2016/679 – Článek 15 odst. 1 písm. h) – Automatizované rozhodování, včetně profilování – Scoring – Posouzení bonity fyzické osoby – Přístup ke smysluplným informacím týkajícím se použitého postupu – Ověření správnosti poskytnutých informací – Směrnice (EU) 2016/943 – Článek 2 bod 1 – Obchodní tajemství – Osobní údaje třetích stran“
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Právo subjektu údajů na přístup ke svým údajům, které jsou předmětem zpracování – Automatizované rozhodování, včetně profilování – Přístup ke smysluplným informacím týkajícím se použitého postupu profilování – Rozsah
[Nařízení Evropského parlamentu a Rady 2016/679, čl. 12 odst. 1, čl. 15 odst. 1 písm. h), čl. 15 odst. 3 a čl. 22 odst. 1 a 3]
(viz body 40–43, 47, 48, 50, 58, 59, 61, 62, 66, výrok 1)
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Právo subjektu údajů na přístup ke svým údajům, které jsou předmětem zpracování – Automatizované rozhodování, včetně profilování – Přístup ke smysluplným informacím týkajícím se použitého postupu profilování – Dodržování práv a svobod druhých – Právo na ochranu osobních údajů třetích osob a obchodního tajemství – Vyvažování dotčených práv a zájmů příslušným dozorovým úřadem nebo soudem
[Nařízení Evropského parlamentu a Rady č. 2016/679, bod 63 odůvodnění a čl. 15 odst. 1 písm. h); směrnice Evropského parlamentu a Rady 2016/943, čl. 2 bod 1]
(viz body 72–76, výrok 2)
Shrnutí
Soudní dvůr, kterému Verwaltungsgericht Wien (Správní soud ve Vídni, Rakousko) předložil žádost o rozhodnutí o předběžné otázce, rozvíjí svou judikaturu z poslední doby týkající se práv osob dotčených profilováním v rámci posuzování jejich bonity (
1
). Zaprvé upřesňuje obrysy práva subjektu údajů na přístup k informacím týkajícím se zpracování jeho údajů. A dále se vyslovuje k vyvažování mezi tímto právem a právem na ochranu osobních údajů třetích osob a obchodních tajemství.
Mobilní operátor odmítl s CK uzavřít nebo prodloužit smlouvu o poskytování mobilních služeb. Toto odmítnutí bylo založeno na automatizovaném posouzení její bonity provedeným společností D & B, která se specializuje na taková posuzování.
Rakouský úřad pro ochranu osobních údajů svým rozhodnutím společnosti D & B uložil, aby CK poskytla smysluplné informace týkající se použitého postupu automatizovaného rozhodování založeného na osobních údajích CK. Žaloba podaná společností D & B proti tomuto rozhodnutí byla zamítnuta rozhodnutím Bundesverwaltungsgericht (Spolkový správní soud, Rakousko) ze dne 23. října 2019. Magistrat der Stadt Wien (Magistrát města Vídně, Rakousko) přitom zamítl návrh CK na nucený výkon tohoto soudního rozhodnutí.
Předkládající soud, k němuž CK podala proti uvedenému rozhodnutí Magistrátu žalobu, žádá Soudní dvůr o objasnění rozsahu informací, které musí být subjektu údajů poskytnuty, aby bylo plně zaručeno jeho právo na přístup podle obecného nařízení o ochraně osobních údajů (
2
). Žádá ho rovněž o upřesnění, zda, a případně v jakém rozsahu, může výjimka vycházející z existence obchodního tajemství toto právo na přístup omezit.
Závěry Soudního dvora
Soudní dvůr v prvé řadě objasnil právo osoby dotčené automatizovaným rozhodováním, včetně profilování, na přístup ke „smysluplným informacím týkajícím se použitého postupu“ ve smyslu čl. 15 odst. 1 písm. h) GDPR a na základě různých jazykových verzí tohoto ustanovení za to, že jeho znění se vztahuje na všechny relevantní informace týkající se postupu a zásad automatizovaného využívání osobních údajů za účelem dosažení určitého výsledku.
Soudní dvůr následně uvádí, že kontextuální výklad téhož ustanovení GDPR podporuje jeho doslovný výklad a povinnost transparentnosti, která se vztahuje na všechny údaje a informace, včetně těch, jež se týkají automatizovaného rozhodování (
3
), kromě toho vyžaduje, aby tyto informace byly poskytovány stručným, transparentním, srozumitelným a snadno přístupným způsobem.
Mimoto Soudní dvůr zdůrazňuje, že ze zkoumání účelů GDPR, a zejména cílů jeho čl. 15 odst. 1 písm. h) vyplývá, že právo získat „smysluplné informace týkající se použitého postupu“ automatizovaného rozhodování ve smyslu tohoto ustanovení musí být chápáno jako právo na vysvětlení postupu a zásad konkrétně použitých k automatizovanému využití osobních údajů jejich subjektu za účelem dosažení určitého výsledku, například bonitního profilu. Aby subjekt údajů mohl účinně vykonávat práva, která mu přiznává GDPR (
4
), musí k tomuto vysvětlení dojít prostřednictvím relevantních informací poskytnutých stručným, transparentním, srozumitelným a snadno přístupným způsobem. Tyto požadavky nemůže splňovat pouhé předání složitého matematického vzorce typu algoritmu ani podrobný popis všech fází automatizovaného rozhodování, jelikož žádný z těchto způsobů nepředstavuje dostatečně stručné a srozumitelné vysvětlení.
Soudní dvůr uzavírá, že „smysluplné informace týkající se použitého postupu“ automatizovaného rozhodování ve smyslu čl. 15 odst. 1 písm. h) GDPR tak musí popisovat konkrétně použitý postup a zásady způsobem, aby z něj subjekt údajů mohl pochopit, které z jeho osobních údajů byly jakou formou použity při automatizovaném rozhodování, aniž může složitost operací prováděných v rámci tohoto rozhodování správce zprostit povinnosti poskytnout vysvětlení.
A upřesňuje, že pokud jde konkrétně o takové profilování, jaké je dotčeno v tomto případě, předkládající soud by mohl zejména považovat za dostatečně transparentní a srozumitelné informování subjektu údajů o tom, jak velké změny zohledněných osobních údajů by vedly k odlišnému výsledku.
Ve druhé řadě, co se týče vyvažování mezi právem na přístup zaručeným GDPR a právem na ochranu osobních údajů třetích osob nebo obchodních tajemství (
5
), připomíná Soudní dvůr nejprve svou judikaturu, podle které může mít vnitrostátní soud za to, že mu musí být sděleny osobní údaje účastníků řízení nebo třetích osob, aby mohl s plnou znalostí věci a při dodržení zásady proporcionality vyvážit dotčené zájmy. Toto posouzení může případně dovést vnitrostátní soud k tomu, že protistraně povolí úplné nebo částečné zpřístupnění osobních údajů, které jí byly takto sděleny, pokud má za to, že takové zpřístupnění nepřekračuje meze toho, co je nezbytné k zaručení účinného využití práv, která jednotlivcům plynou z článku 47 Listiny základních práv Evropské unie (
6
).
Následně uvádí, že tato judikatura je plně přenositelná na případ, kdy informace, které mají být subjektu údajů poskytnuty na základě práva na přístup zaručeného čl. 15 odst. 1 písm. h) GDPR, mohou vést k zásahu do práv a svobod druhých, zejména proto, že obsahují osobní údaje třetích osob chráněné tímto nařízením nebo obchodní tajemství. I v takovém případě musí být uvedené informace sděleny příslušnému dozorovému úřadu nebo soudu, kterým přísluší zvážit dotčená práva a zájmy za účelem určení rozsahu práva subjektu údajů na přístup ke svým osobním údajům.
Konstatuje, že s ohledem na nezbytnost takového individuálního určování brání čl. 15 odst. 1 písm. h) GDPR zejména použití vnitrostátního ustanovení, které v zásadě vylučuje právo subjektu údajů na přístup, pokud by takový přístup ohrozil obchodní nebo podnikatelské tajemství správce nebo třetí strany. V tomto ohledu Soudní dvůr připomíná, že členský stát nemůže s konečnou platností pro každý jednotlivý případ předem určit výsledek unijním právem uloženého vyvažování dotčených práv a zájmů (
7
).
Závěrem Soudní dvůr rozhodl, že čl. 15 odst. 1 písm. h) GDPR musí být vykládán v tom smyslu, že v případě, že se správce domnívá, že informace, které mají být subjektu údajů poskytnuty podle tohoto ustanovení, obsahují údaje třetích osob chráněné tímto nařízením nebo obchodní tajemství, je povinen sdělit tyto údajně chráněné informace příslušnému dozorovému úřadu nebo soudu, které musí zvážit dotčená práva a zájmy za účelem určení rozsahu práva subjektu údajů na přístup stanoveného v článku 15 GDPR.
(
1
) – Rozsudek ze dne 7. prosince 2023, SCHUFA Holding a další (Scoring) (C‑634/21, EU:C:2023:957).
(
2
) – Článek 15 odst. 1 písm. h) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46 (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“).
(
3
) – Upravená v čl. 12 odst. 1 GDPR.
(
4
) – Zejména jeho čl. 22 odst. 3.
(
5
) – Ve smyslu čl. 2 bodu 1 směrnice Evropského parlamentu a Rady (EU) 2016/943 ze dne 8. června 2016 o ochraně nezveřejněného know-how a obchodních informací (obchodního tajemství) před jejich neoprávněným získáním, využitím a zpřístupněním (Úř. věst. 2016, L 157, s. 1).
(
6
) – Rozsudek ze dne 2. března 2023, Norra Stockholm Bygg (C‑268/21, EU:C:2023:145, bod 58).
(
7
) – V tomto smyslu viz rozsudek ze dne 7. prosince 2023, SCHUFA Holding a další (Scoring) (C‑634/21, EU:C:2023:957, bod 70 a citovaná judikatura).