62022CJ0203_RES
Sprawa C-203/22
CK
przeciwko
Magistrat der Stadt Wien
(wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Verwaltungsgericht Wien)
Wyrok Trybunału (pierwsza izba) z dnia 27 lutego 2025 r.
Odesłanie prejudycjalne – Ochrona danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 15 ust. 1 lit. h) – Zautomatyzowane podejmowanie decyzji, w tym profilowanie – „Scoring” – Ocena zdolności kredytowej osoby fizycznej – Dostęp do istotnych informacji o zasadach profilowania – Sprawdzenie prawidłowości udzielonych informacji – Dyrektywa (UE) 2016/943 – Artykuł 2 pkt 1 – Tajemnica przedsiębiorstwa – Dane osobowe osób trzecich
Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie 2016/679 – Prawo dostępu danej osoby do własnych danych podlegających przetwarzaniu – Zautomatyzowane podejmowanie decyzji, w tym profilowanie – Prawo dostępu do istotnych informacji o zasadach profilowania – Zakres
[rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 12 ust. 1, art. 15 ust. 1 lit. h), art. 15 ust. 3, art. 22 ust. 1, 3]
(zob. pkt 40–43, 47, 48, 50, 58, 59, 61, 62, 66; pkt 1 sentencji)
Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie 2016/679 – Prawo dostępu danej osoby do własnych danych podlegających przetwarzaniu – Zautomatyzowane podejmowanie decyzji, w tym profilowanie – Prawo dostępu do istotnych informacji o zasadach profilowania – Poszanowanie praw i wolności innych osób – Prawo do ochrony danych osobowych osób trzecich i tajemnicy przedsiębiorstwa – Wyważenie danych praw i interesów przez właściwy organ nadzorczy lub właściwy sąd
[rozporządzenie Parlamentu Europejskiego i Rady 2016/679, motyw 63, art. 15 ust. 1 lit. h); dyrektywa Parlamentu Europejskiego i Rady 2016/943, art. 2 pkt 1]
(zob. pkt 72–76; pkt 2 sentencji)
Streszczenie
Trybunał, do którego Verwaltungsgericht Wien (sąd administracyjny w Wiedniu, Austria) zwrócił się z wnioskiem o wydanie orzeczenia w trybie prejudycjalnym, rozwinął swoje najnowsze orzecznictwo dotyczące praw osób, których dotyczy profilowanie mające na celu ocenę ich zdolności kredytowej (
1
). Po pierwsze, Trybunał uściślił zakres prawa dostępu przysługującego osobie, której dane dotyczą, do informacji związanych z przetwarzaniem jej danych. Po drugie, Trybunał wypowiedział się w przedmiocie wyważenia tego prawa z prawem do ochrony danych osób trzecich lub tajemnicy przedsiębiorstwa.
Operator telefonii komórkowej odmówił CK zawarcia lub przedłużenia umowy o świadczenie usług telefonii komórkowej. Odmowa ta została oparta na zautomatyzowanej ocenie zdolności kredytowej CK, której dokonała spółka D & B, przedsiębiorstwo specjalizujące się w dostarczaniu takich ocen.
W swojej decyzji austriacki organ ochrony danych nakazał spółce D & B udzielenie CK istotnych informacji o zasadach zautomatyzowanego podejmowania decyzji w oparciu o jej dane osobowe. Skarga spółki D & B na tę decyzję została oddalona orzeczeniem Bundesverwaltungsgericht (federalnego sądu administracyjnego, Austria) z dnia 23 października 2019 r. Jednakże Magistrat der Stadt Wien (urząd miasta Wiedeń, Austria) oddalił złożony przez CK wniosek o wszczęcie egzekucji tego orzeczenia sądowego.
Sąd odsyłający, do którego CK wniosła skargę na decyzję wspomnianego urzędu miasta, zwrócił się do Trybunału o wyjaśnienie, w jakim zakresie należy udzielić informacji osobie, której dane dotyczą, aby zagwarantować jej w pełni prawo dostępu przewidziane w ogólnym rozporządzeniu o ochronie danych (
2
). Sąd odsyłający zwrócił się również do Trybunału o wyjaśnienie, czy i w jakim zakresie wyjątek oparty na istnieniu tajemnicy przedsiębiorstwa może ograniczać to prawo.
Ocena Trybunału
W pierwszej kolejności, wyjaśniając prawo osoby, której dotyczy zautomatyzowana decyzja, w tym profilowanie, do dostępu do „istotnych informacji o zasadach [podejmowania decyzji]” w rozumieniu art. 15 ust. 1 lit. h) RODO, Trybunał stwierdził, na podstawie różnych wersji językowych tego przepisu, że jego brzmienie odnosi się do wszelkich istotnych informacji dotyczących procedury i zasad zautomatyzowanego wykorzystywania danych osobowych w celu uzyskania określonego wyniku.
Trybunał zauważył następnie, że wykładnia kontekstualna tego przepisu RODO potwierdza jego wykładnię literalną i że ponadto obowiązek przejrzystości, który ma zastosowanie do wszystkich danych i informacji, w tym danych i informacji związanych ze zautomatyzowanym podejmowaniem decyzji (
3
), wymaga, aby informacje te były przekazywane w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie.
Ponadto Trybunał podkreślił, że z analizy celów RODO, a w szczególności celów art. 15 ust. 1 lit. h), wynika, że prawo do uzyskania „istotnych informacji o zasadach” zautomatyzowanego podejmowania decyzji w rozumieniu tego przepisu należy rozumieć jako prawo do wyjaśnienia procedury i zasad konkretnie zastosowanych do zautomatyzowanego wykorzystania danych osobowych osoby, której dane dotyczą, w celu uzyskania określonego wyniku, takiego jak profil zdolności kredytowej. Aby umożliwić osobie, której dane dotyczą, skuteczne wykonywanie praw przysługujących jej na mocy RODO (
4
), wyjaśnienie to powinno być przedstawione w drodze istotnych informacji oraz w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie. Wymogów tych nie może spełniać ani zwykłe przekazanie złożonego wzoru matematycznego, takiego jak algorytm, ani szczegółowy opis wszystkich etapów zautomatyzowanego podejmowania decyzji, ponieważ żaden z tych sposobów nie stanowi wystarczająco zwięzłego i zrozumiałego wyjaśnienia.
Trybunał doszedł do wniosku, że „istotne informacje o zasadach” zautomatyzowanego podejmowania decyzji w rozumieniu art. 15 ust. 1 lit. h) RODO powinny opisywać konkretnie zastosowane procedurę i zasady w taki sposób, aby osoba, której dane dotyczą, mogła zrozumieć, które z jej danych osobowych i w jaki sposób zostały wykorzystane w kontekście zautomatyzowanego podejmowania decyzji, przy czym złożoność operacji, które należy przeprowadzić w ramach zautomatyzowanego podejmowania decyzji, nie zwalnia administratora z obowiązku udzielenia wyjaśnień.
Co się tyczy konkretnie profilowania takiego jak w niniejszej sprawie, Trybunał uściślił, że sąd odsyłający mógłby w szczególności uznać za wystarczająco przejrzyste i zrozumiałe poinformowanie osoby, której dane dotyczą, o tym, w jakim zakresie zmiana uwzględnionych danych osobowych doprowadziłaby do odmiennego rezultatu.
W drugiej kolejności, jeśli chodzi o wyważenie prawa dostępu gwarantowanego przez RODO i prawa do ochrony danych osób trzecich lub tajemnic przedsiębiorstwa (
5
), Trybunał rozpoczął od przypomnienia swojego orzecznictwa, zgodnie z którym sąd krajowy może uznać, że dane osobowe stron lub osób trzecich powinny zostać mu przekazane, aby móc wyważyć występujące w postępowaniu interesy przy pełnej znajomości rzeczy i z poszanowaniem zasady proporcjonalności. Ocena ta może w danym wypadku prowadzić do zezwolenia stronie przeciwnej na pełne lub częściowe ujawnienie przekazanych jej w ten sposób danych osobowych, jeżeli sąd ten uzna, że takie ujawnienie nie wykracza poza to, co jest konieczne do zapewnienia skutecznego korzystania z praw, które jednostki wywodzą z art. 47 Karty praw podstawowych Unii Europejskiej (
6
).
Następnie Trybunał wskazał, że orzecznictwo to można w pełni zastosować do sytuacji, w której informacje, jakie należy przekazać osobie, której dane dotyczą, na podstawie prawa dostępu zagwarantowanego w art. 15 ust. 1 lit. h) RODO, mogą prowadzić do naruszenia praw i wolności innych osób, w szczególności w zakresie, w jakim zawierają one dane osobowe osób trzecich chronione wspomnianym rozporządzeniem lub tajemnicę przedsiębiorstwa. Również w tym przypadku wspomniane informacje powinny zostać przekazane właściwemu organowi nadzorczemu lub właściwemu sądowi, na których spoczywa obowiązek wyważenia rozpatrywanych praw i interesów w celu określenia zakresu prawa dostępu przysługującego osobie, której dane dotyczą, do dotyczących jej danych osobowych.
Trybunał stwierdził, że ze względu na konieczność dokonania takiego ustalenia w każdym konkretnym przypadku art. 15 ust. 1 lit. h) RODO stoi w szczególności na przeszkodzie stosowaniu przepisu krajowego, który co do zasady wyklucza prawo dostępu osoby, której dane dotyczą, jeżeli zapewnienie tego dostępu stanowiłoby zagrożenie dla tajemnicy handlowej lub tajemnicy przedsiębiorstwa administratora lub osoby trzeciej. W tym względzie Trybunał przypomniał, że państwo członkowskie nie może określić w sposób ostateczny wyniku wyważenia w każdym konkretnym przypadku danych praw i interesów, wymaganego przez prawo Unii (
7
).
Podsumowując, Trybunał orzekł, że art. 15 ust. 1 lit. h) RODO należy interpretować w ten sposób, że w przypadku gdy administrator uważa, iż informacje, które należy zgodnie z tym przepisem przekazać osobie, której dane dotyczą, zawierają dane osób trzecich chronione tym rozporządzeniem lub tajemnice przedsiębiorstwa, administrator ten jest zobowiązany do przekazania tych informacji, które miałyby być chronione, właściwemu organowi nadzorczemu lub właściwemu sądowi, na których spoczywa obowiązek wyważenia rozpatrywanych praw i interesów w celu ustalenia zakresu prawa dostępu przysługującego osobie, której dane dotyczą, przewidzianego w art. 15 RODO.
(
1
)	Wyrok z dnia 7 grudnia 2023 r., SCHUFA Holding i in. (Scoring) (C-634/21, EU:C:2023:957).
(
2
)	Artykuł 15 ust. 1 lit. h) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.U. 2016, L 119, s. 1; sprostowanie: Dz.U. 2018, L 127, s. 2, zwanego dalej „RODO”).
(
3
)	O którym mowa w art. 12 ust. 1 RODO.
(
4
)	W szczególności na mocy art. 22 ust. 3 RODO.
(
5
)	W rozumieniu art. 2 pkt 1 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/943 z dnia 8 czerwca 2016 r. w sprawie ochrony niejawnego know-how i niejawnych informacji handlowych (tajemnic przedsiębiorstwa) przed ich bezprawnym pozyskiwaniem, wykorzystywaniem i ujawnianiem (Dz.U. 2016, L 157, s. 1).
(
6
)	Wyrok z dnia 2 marca 2023 r., Norra Stockholm Bygg (C-268/21, EU:C:2023:145, pkt 58).
(
7
)	Zobacz podobnie wyrok z dnia 7 grudnia 2023 r., SCHUFA Holding i in. (Scoring) (C-634/21, EU:C:2023:957, pkt 70 i przytoczone tam orzecznictwo).