62022CJ0203_RES
C‑203/22. sz. ügy
CK
kontra
Magistrat der Stadt Wien
(a Verwaltungsgericht Wien [Ausztria] által benyújtott előzetes döntéshozatal iránti kérelem)
A Bíróság (első tanács) 2025. február 27‑i ítélete
„Előzetes döntéshozatal – A személyes adatok védelme – (EU) 2016/679 rendelet – A 15. cikk (1) bekezdésének h) pontja – Automatizált döntéshozatal, ideértve a profilalkotást is – »Scoring« – Természetes személy fizetőképességének értékelése – Az automatizált döntéshozatal alapjául szolgáló logikára vonatkozó érthető információkhoz való hozzáférés – A szolgáltatott információk pontosságának ellenőrzése – (EU) 2016/943 rendelet – A 2. cikk 1. pontja – Üzleti titok – Harmadik személyek személyes adatai”
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – Az érintettnek az adatkezelés tárgyát képező adataihoz való hozzáférési joga – Automatizált döntéshozatal, ideértve a profilalkotást is – A profilalkotás alapjául szolgáló logikára vonatkozó érthető információkhoz való hozzáférés joga – Terjedelem
(2016/679 európai parlamenti és tanácsi rendelet, 12. cikk, (1) bekezdés, 15. cikk, (1) bekezdés, h) pont, és (3) bekezdés, 22. cikk, (1) és (3) bekezdés)
(lásd: 40–43., 47., 48., 50., 58., 59., 61., 62., 66. pont és rendelkező rész 1. pontja)
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – Az érintettnek az adatkezelés tárgyát képező adataihoz való hozzáférési joga – Automatizált döntéshozatal, ideértve a profilalkotást is – A profilalkotás alapjául szolgáló logikára vonatkozó érthető információkhoz való hozzáférés joga – Mások jogainak és szabadságainak tiszteletben tartása – Harmadik személyek személyes adatainak és az üzleti titoknak a védelméhez való jog – A szóban forgó jogok és érdekek illetékes felügyeleti hatóság vagy bíróság általi súlyozása
(2016/679 európai parlamenti és tanácsi rendelet, (63) preambulumbekezdés, 15. cikk, (1) bekezdés, h) pont; 2016/943 európai parlamenti és tanácsi irányelv, 2. cikk, 1. pont)
(lásd: 72–76. pont és a rendelkező rész 2. pontja)
Összefoglalás
A Verwaltungsgericht Wien (bécsi közigazgatási bíróság, Ausztria) által előterjesztett előzetes döntéshozatal iránti kérelem alapján a Bíróság továbbfejleszti a hitelképességük értékelésére irányuló profilalkotással érintett személyek jogaira vonatkozó közelmúltbeli ítélkezési gyakorlatát. (
1
) Egyrészt pontosítja az érintett rá vonatkozó személyes adatok kezelésére vonatkozó információkhoz való hozzáférési jogának körvonalait. Másrészt határoz az e jog és a harmadik személyek adatainak, illetve az üzleti titkoknak a védelméhez való jog közötti egyensúly megteremtéséről.
Egy mobiltelefon‑szolgáltató megtagadta CK‑tól egy mobiltelefon‑szerződés megkötését vagy meghosszabbítását. Ez az elutasítás a D & B – egy hitelképesség‑értékelésre szakosodott vállalkozás – által végzett automatikus hitelképesség értékelésen alapult.
Az osztrák adatvédelmi hatósághoz határozatában arra kötelezte a D & B‑t, hogy érthető információkat nyújtson CK‑nak a személyes adatokon alapuló automatizált döntéshozatalának alapjául szolgáló logikára vonatkozóan. A D & B által e határozattal szemben benyújtott keresetet a Bundesverwaltungsgericht (szövetségi közigazgatási bíróság, Ausztria) 2019. október 23‑i határozatával elutasította. A Magistrat der Stadt Wien (Bécs város önkormányzata, Ausztria) azonban elutasította a CK által e határozat végrehajtása iránt benyújtott kérelmet.
A kérdést előterjesztő bíróság, amelyhez CK keresetet nyújtott be ezen önkormányzat határozatával szemben, azon információk terjedelmének pontosítását kéri a Bíróságtól, amelyeket az érintettnek az általános adatvédelmi rendeletben (
2
) előírt hozzáférési joga teljes mértékű biztosítása érdekében meg kell adni. E bíróság arra vonatkozó iránymutatást is kér, hogy az üzleti titok fennállására alapított kivétel alkalmas‑e arra, és ha igen, milyen mértékben, hogy korlátozza e jogot.
A Bíróság álláspontja
Először is, az automatizált döntéssel – ideértve a profilalkotást is – érintett személyek GDPR 15. cikke (1) bekezdésének h) pontja értelmében vett, „az alkalmazott logikára […] vonatkozó érthető információk[hoz]” való hozzáférésre vonatkozó jogának e rendelkezés különböző nyelvi változatai alapján történő pontosításával a Bíróság úgy véli, hogy e rendelkezés szövege a személyes adatok meghatározott eredmény elérése érdekében, automatizált módon történő felhasználásának eljárásával és elveivel kapcsolatos valamennyi releváns információra vonatkozik.
A Bíróság ezt követően rámutat arra, hogy a GDPR ugyanezen rendelkezésének rendszertani értelmezése megerősíti annak szó szerinti értelmezését, és egyébiránt az átláthatósági kötelezettség, amely valamennyi adatra és információra vonatkozik, beleértve az automatizált döntéshozatalhoz kapcsolódókat is, (
3
) megköveteli, hogy ezeket az információkat tömör, átlátható, érthető és könnyen hozzáférhető módon nyújtsák.
Ezenkívül a Bíróság kiemeli, hogy a GDPR, és különösen 15. cikke (1) bekezdése h) pontja céljainak vizsgálatából kitűnik, hogy az e rendelkezés értelmében vett, az automatizált döntéshozatalhoz „alkalmazott logikára […] vonatkozó érthető információk” megszerzéséhez való jogot úgy kell értelmezni, mint az érintettre vonatkozó személyes adatoknak egy meghatározott eredmény – mint például fizetőképességi profil – elérése céljából, automatizált módon történő felhasználása során konkrétan alkalmazott eljárások és elvek magyarázatához való jogot. Annak érdekében, hogy az érintett hatékonyan gyakorolhassa a GDPR szerinti jogait, (
4
) ezt a magyarázatot releváns információk felhasználásával, tömör, átlátható, érthető és könnyen hozzáférhető módon kell megadni. Nem felelhet meg e követelményeknek sem egy összetett matematikai képlet, például algoritmus puszta közlése, sem pedig az automatizált döntéshozatal valamennyi lépésének részletes leírása, mivel e módok egyike sem minősül kellően tömör és érthető magyarázatnak.
A Bíróság arra következtetésre jutott, hogy a GDPR 15. cikke (1) bekezdésének h) pontja értelmében vett, az automatizált döntéshozatalkor „alkalmazott logikára […] vonatkozó érthető információk[nak]” oly módon kell leírniuk az eljárást és a konkrétan alkalmazott elveket, hogy az érintett megérthesse, hogy a személyes adatait milyen módon használták fel az automatizált döntéshozatal során, anélkül hogy az automatizált döntéshozatal keretében elvégzendő műveletek összetettsége mentesíthetné az adatkezelőt a tájékoztatási kötelezettsége alól.
A Bíróság kifejti, különösen az alapügyben szereplőhöz hasonló profilalkotást illetően, hogy a kérdést előterjesztő bíróság tekintheti úgy többek között, hogy kellően átlátható és érthető az érintett arról való tájékoztatása, hogy a figyelembe vett személyes adatok eltérései milyen mértékben vezetettek volna eltérő eredményre.
Másodszor, a GDPR által biztosított hozzáférési jog és a harmadik személyek adatainak vagy az üzleti titkok védelméhez való jognak az egymással szembeni mérlegelését illetően (
5
) a Bíróság először is emlékeztet azon ítélkezési gyakorlatára, amely szerint a nemzeti bíróság ítélheti úgy, hogy a felek vagy harmadik személyek személyes adatait közölni kell vele annak érdekében, hogy az ügy teljes ismeretében és az arányosság elvének tiszteletben tartása mellett súlyozhassa a fennálló érdekeket. Ezen értékelés adott esetben ahhoz vezethet, hogy e bíróság engedélyezi a vele ily módon közölt személyes adatoknak az ellenérdekű fél számára történő teljes vagy részleges hozzáférhetővé tételét, ha úgy ítéli meg, hogy az ilyen hozzáférhetővé tétel nem haladja meg azt a mértéket, amely a jogalanyoknak az Európai Unió Alapjogi Chartája 47. cikkéből eredő jogai tényleges gyakorlásának biztosításához szükséges. (
6
)
Ezt követően rámutat, hogy ezen ítélkezési gyakorlat teljes mértékben átültethető arra az esetre, amikor a GDPR 15. cikke (1) bekezdésének h) pontjában biztosított hozzáférési jog alapján az érintettnek nyújtandó információk sérthetik mások jogait és szabadságait, többek között azért, mert harmadik személyeknek az említett rendelet által védett személyes adatait vagy üzleti titkot tartalmaznak. Az említett információkat ebben az esetben is közölni kell az illetékes felügyeleti hatósággal vagy bírósággal, amelyek feladata a szóban forgó jogok és érdekek mérlegelése az érintettnek a rá vonatkozó személyes adatokhoz való hozzáférési joga terjedelmének meghatározása érdekében.
A Bíróság megállapítja, hogy az ilyen eseti meghatározás szükségességére tekintettel a GDPR 15. cikke (1) bekezdésének h) pontjával ellentétes többek között az olyan nemzeti rendelkezés alkalmazása, amely főszabály szerint kizárja az érintettnek hozzáférési jogát, abban az esetben, ha e hozzáférés az adatkezelő vagy valamely harmadik fél üzleti vagy vállalati titkait veszélyeztetné. E tekintetben a Bíróság emlékeztet arra, hogy egy tagállam nem határozhatja meg végleges módon a szóban forgó jogok és érdekek közötti, az uniós jog által előírt, esetről esetre történő súlyozás eredményét. (
7
)
Következésképpen a Bíróság kimondta, hogy a GDPR 15. cikke (1) bekezdésének h) pontját úgy kell értelmezni, hogy abban az esetben, ha az adatkezelő úgy ítéli meg, hogy az érintettnek az e rendelkezés alapján nyújtandó információk harmadik személyek e rendelet által védett adatait vagy üzleti titkokat tartalmaznak, ezen adatkezelő köteles ezeket az állítólagosan védett információkat az illetékes felügyeleti hatósággal vagy bírósággal közölni, amelyek feladata az érintett GDPR 15. cikke szerinti hozzáférési joga terjedelmének meghatározása érdekében a szóban forgó jogok és érdekek mérlegelése.
(
1
)	2023. december 7‑i SCHUFA Holdings és társai (Scoring) ítélet (C‑634/21, EU:C:2023:957).
(
2
)	A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; a továbbiakban: GDPR).
(
3
)	Ezeket a GDPR 12. cikkének (1) bekezdése említi.
(
4
)	Különösen a GDPR 22. cikkének (3) bekezdése.
(
5
)	A nem nyilvános know‑how és üzleti információk (üzleti titkok) jogosulatlan megszerzésével, hasznosításával és felfedésével szembeni védelemről szóló, 2016. június 8‑i (EU) 2016/943 európai parlamenti és tanácsi irányelv (HL 2016., L 157., 1. o.) 2. cikke 1. pontjának értelmében.
(
6
)	2023. március 2‑iNorra Stockholm Bygg ítélet (C‑268/21, EU:C:2023:145, 58. pont).
(
7
)	Lásd ebben az értelmében: 2023. december 7‑iSCHUFA Holding és társai [Scoring] ítélet (C‑634/21, EU:C:2023:957, 70. pont, valamint az ott hivatkozott ítélkezési gyakorlat).