62022CJ0203_RES
Vec C‑203/22
CK
proti
Magistrat der Stadt Wien
(návrh na začatie prejudiciálneho konania, ktorý podal Verwaltungsgericht Wien)
Rozsudok Súdneho dvora (prvá komora) z 27. februára 2025
„Návrh na začatie prejudiciálneho konania – Ochrana osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 15 ods. 1 písm. h) – Automatizované rozhodovanie vrátane profilovania – ‚Scoring‘ – Posudzovanie bonity fyzickej osoby – Prístup k zmysluplným informáciám o postupe použitom pri profilovaní – Overenie správnosti poskytnutých informácií – Smernica (EÚ) 2016/943 – Článok 2 bod 1 – Obchodné tajomstvo – Osobné údaje tretích osôb“
Ochrana fyzických osôb pri spracovaní osobných údajov – Nariadenie 2016/679 – Právo dotknutej osoby na prístup k jej údajom, ktoré sa spracúvajú – Automatizované rozhodovanie vrátane profilovania – Právo na prístup k zmysluplným informáciám o postupe použitom pri profilovaní – Rozsah
[Nariadenie Európskeho parlamentu a Rady 2016/679, článok 12 ods. 1, článok 15 ods. 1 písm. h), článok 3 a článok 22 ods. 1 a 3]
(pozri body 40 – 43, 47, 48, 50, 58, 59, 61, 62, 66, bod 1 výroku)
Ochrana fyzických osôb pri spracovaní osobných údajov – Nariadenie 2016/679 – Právo dotknutej osoby na prístup k jej údajom, ktoré sa spracúvajú – Automatizované rozhodovanie vrátane profilovania – Právo na prístup k zmysluplným informáciám o postupe použitom pri profilovaní – Dodržiavanie práv a slobôd iných – Právo na ochranu osobných údajov tretích osôb a obchodné tajomstvo – Vyváženie dotknutých práv a záujmov príslušným dozorným orgánom alebo súdom
[Nariadenie Európskeho parlamentu a Rady 2016/679, odôvodnenie 63, článok 15 ods. 1 písm. h); smernica Európskeho parlamentu a Rady 2016/943, článok 2 bod 1]
(pozri body 72 – 76, bod 2 výroku)
Zhrnutie
Súdny dvor, na ktorý Verwaltungsgericht Wien (Správny súd Viedeň, Rakúsko) podal návrh na začatie prejudiciálneho konania, rozvinul svoju nedávnu judikatúru týkajúcu sa práv osôb dotknutých profilovaním na účely posúdenia ich bonity. (
1
) Na jednej strane spresnil rozsah práva dotknutej osoby na prístup k informáciám týkajúcim sa spracovania jej údajov. Na druhej strane sa vyjadril k vyváženiu tohto práva s právom tretích osôb na ochranu údajov alebo obchodného tajomstva.
Mobilný operátor odmietol s CK uzavrieť alebo predĺžiť zmluvu o poskytovaní mobilných telefónnych služieb. Toto odmietnutie bolo založené na automatizovanom posúdení jej úverového ratingu, ktoré vykonala spoločnosť D & B špecializujúca sa na poskytovanie takýchto posúdení.
Rakúsky orgán pre ochranu údajov svojím rozhodnutím uložil spoločnosti D & B povinnosť poskytnúť CK zmysluplné informácie o postupe použitom pri automatizovanom rozhodovaní založenom na jej osobných údajoch. Žalobu, ktorú podala D & B proti tomuto rozhodnutiu, Bundesverwaltungsgericht (Spolkový správny súd, Rakúsko) zamietol rozhodnutím z 23. októbra 2019. Magistrat der Stadt Wien (Magistrát mesta Viedeň, Rakúsko) pritom zamietol návrh na nútený výkon tohto súdneho rozhodnutia, ktorý podala CK.
Vnútroštátny súd, na ktorý CK podala žalobu proti rozhodnutiu tohto magistrátu, žiada Súdny dvor, aby objasnil rozsah informácií, ktoré musia byť poskytnuté dotknutej osobe, aby bolo jej právo na prístup k údajom stanovené všeobecným nariadením o ochrane údajov (
2
) v plnom rozsahu zaručené. Takisto ho žiada, aby spresnil, či a v akom rozsahu môže výnimka založená na existencii obchodného tajomstva obmedziť toto právo na prístup k údajom.
Posúdenie Súdnym dvorom
V prvom rade Súdny dvor pri objasnení práva osoby dotknutej automatizovaným rozhodnutím vrátane profilovania na prístup k „zmysluplným informáciám o použitom postupe“ v zmysle článku 15 ods. 1 písm. h) GDPR na základe rôznych jazykových znení tohto ustanovenia dospel k záveru, že jeho znenie sa vzťahuje na všetky zmysluplné informácie týkajúce sa postupu a zásad automatizovaného využívania osobných údajov na účely dosiahnutia určitého výsledku.
Súdny dvor ďalej uviedol, že kontextuálny výklad toho istého ustanovenia GDPR potvrdzuje jeho doslovný výklad a že okrem toho povinnosť transparentnosti, ktorá sa vzťahuje na všetky údaje a informácie vrátane tých, ktoré súvisia s automatizovaným rozhodovaním, (
3
) vyžaduje, aby tieto informácie boli poskytnuté v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme.
Okrem toho Súdny dvor zdôraznil, že z preskúmania cieľov GDPR, a najmä z jeho článku 15 ods. 1 písm. h) vyplýva, že právo na získanie „zmysluplných informácií o použitom postupe“ pri automatizovanom rozhodovaní v zmysle tohto ustanovenia treba chápať ako právo na vysvetlenie postupu a zásad konkrétne použitých na automatizované využívanie osobných údajov dotknutej osoby na účely dosiahnutia konkrétneho výsledku, napríklad profilu bonity. S cieľom umožniť dotknutej osobe účinne vykonávať práva, ktoré jej priznáva GDPR, (
4
) musí byť toto vysvetlenie poskytnuté prostredníctvom relevantných informácií a v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme. Tieto požiadavky nemôže spĺňať ani jednoduché oznámenie zložitého matematického vzorca, akým je algoritmus, ani podrobný opis všetkých krokov automatizovaného rozhodovania, keďže žiadny z týchto spôsobov nepredstavuje dostatočne stručné a zrozumiteľné vysvetlenie.
Súdny dvor dospel k záveru, že „zmysluplné informácie o použitom postupe“ pri automatizovanom rozhodovaní v zmysle článku 15 ods. 1 písm. h) GDPR tak musia opísať konkrétne použitý postup a zásady, aby dotknutá osoba mohla pochopiť, ktoré z jej osobných údajov a ako boli použité pri prijímaní automatizovaného rozhodovania, pričom zložitosť operácií vykonávaných v rámci automatizovaného rozhodovania nemôže oslobodiť prevádzkovateľa od povinnosti poskytnúť vysvetlenie.
Spresňuje, že pokiaľ ide konkrétne o také profilovanie, o aké ide vo veci samej, vnútroštátny súd by mohol považovať za dostatočne transparentné a zrozumiteľné najmä informovanie dotknutej osoby o rozsahu, v akom by zmena zohľadnených osobných údajov viedla k odlišnému výsledku.
V druhom rade, pokiaľ ide o vyváženie práva na prístup k údajom, zaručeného prostredníctvom GDPR, a práva na ochranu údajov tretích osôb alebo obchodného tajomstva, (
5
) Súdny dvor najprv pripomenul svoju judikatúru, podľa ktorej môže vnútroštátny súd považovať za potrebné, aby mu boli oznámené osobné údaje účastníkov konania alebo tretích osôb na účely vyváženia dotknutých záujmov s úplnou znalosťou veci a pri dodržaní zásady proporcionality. Toto posúdenie môže prípadne viesť k povoleniu úplného alebo čiastočného sprístupnenia osobných údajov, ktoré mu boli takto poskytnuté, protistrane, ak sa domnieva, že takéto sprístupnenie nejde nad rámec toho, čo je nevyhnutné na zabezpečenie účinného využívania práv, ktoré osobám podliehajúcim súdnej právomoci vyplývajú z článku 47 Charty základných práv Európskej únie. (
6
)
Ďalej uviedol, že túto judikatúru možno v plnom rozsahu uplatniť na prípad, keď informácie, ktoré sa majú poskytnúť dotknutej osobe na základe práva na prístup k údajom, zaručeného článkom 15 ods. 1 písm. h) GDPR, môžu viesť k porušeniu práv a slobôd iných, najmä preto, že obsahujú osobné údaje tretích osôb chránené týmto nariadením alebo obchodné tajomstvo. Aj v tomto prípade musia byť uvedené informácie oznámené príslušnému dozornému orgánu alebo súdu, ktoré sú zodpovedné za vyváženie dotknutých práv a záujmov na účely určenia rozsahu práva dotknutej osoby na prístup k osobným údajom, ktoré sa jej týkajú.
Konštatoval, že pokiaľ ide o potrebu takého určenia v každom jednotlivom prípade, článok 15 ods. 1 písm. h) GDPR bráni najmä uplatneniu vnútroštátneho ustanovenia, ktoré v zásade vylučuje právo dotknutej osoby na prístup k údajom, ak by takýto prístup ohrozil obchodné alebo podnikové tajomstvo prevádzkovateľa alebo tretej osoby. V tejto súvislosti Súdny dvor pripomína, že členský štát nemôže s konečnou platnosťou stanoviť výsledok vyváženia dotknutých práv a záujmov v každom jednotlivom prípade, ktoré ukladá právo Únie. (
7
)
Na záver Súdny dvor rozhodol, že článok 15 ods. 1 písm. h) GDPR sa má vykladať v tom zmysle, že v prípade, že sa prevádzkovateľ domnieva, že informácie, ktoré sa majú poskytnúť dotknutej osobe v súlade s týmto ustanovením, obsahujú údaje tretích osôb chránené týmto nariadením alebo obchodné tajomstvo, je tento prevádzkovateľ povinný oznámiť tieto údajne chránené informácie príslušnému dozornému orgánu alebo súdu, ktorým prináleží vyvážiť dotknuté práva a záujmy na účely určenia rozsahu práva dotknutej osoby na prístup k údajom stanoveného v článku 15 GDPR.
(
1
)	Rozsudok zo 7. decembra 2023, SCHUFA Holding a i. (Scoring) (C‑634/21, EU:C:2023:957).
(
2
)	Článok 15 ods. 1 písm. h) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“).
(
3
)	Uvedené v článku 12 ods. 1 GDPR.
(
4
)	Osobitne v súlade s článkom 22 ods.3 GDPR.
(
5
)	V zmysle článku 2 bodu 1 smernice Európskeho parlamentu a Rady (EÚ) 2016/943 z 8. júna 2016 o ochrane nesprístupneného know‑how a obchodných informácií (obchodného tajomstva) pred ich neoprávneným získaním, využitím a sprístupnením (Ú. v. EÚ L 157, 2016, s. 1).
(
6
)	Rozsudok z 2. marca 2023, Norra Stockholm Bygg (C‑268/21, EU:C:2023:145, bod 58).
(
7
)	Pozri v tomto zmysle rozsudok zo 7. decembra 2023, SCHUFA Holding a i. (Scoring) (C‑634/21, EU:C:2023:957, bod 70, ako aj citovanú judikatúru).