62022CJ0203_RES
Predmet C-203/22
CK
protiv
Magistrat der Stadt Wien
(zahtjev za prethodnu odluku koji je uputio Verwaltungsgericht Wien)
Presuda Suda (prvo vijeće) od 27. veljače 2025.
„Zahtjev za prethodnu odluku – Zaštita osobnih podataka – Uredba (EU) 2016/679 – Članak 15. stavak 1. točka (h) – Automatizirano donošenje odluka, uključujući izradu profila – ‚Scoring’ – Ocjena kreditne sposobnosti fizičke osobe – Pristup smislenim informacijama o tome o kojoj je logici riječ prilikom izrade profila – Provjera točnosti pruženih informacija – Direktiva (EU) 2016/943 – Članak 2. točka 1. – Poslovna tajna – Osobni podaci trećih osoba”
Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba 2016/679 – Ispitanikovo pravo na pristup svojim podacima koji se obrađuju – Automatizirano donošenje odluka, uključujući izradu profila – Pravo na pristup smislenim informacijama o tome o kojoj je logici riječ prilikom izrade profila – Opseg
(Uredba 2016/679 Europskog parlamenta i Vijeća, čl. 12. st. 1., čl. 15. st. 1. t. (h) i st. 3. i čl. 22. st. 1. i 3.)
(t. 40.-43., 47., 48., 50., 58., 59., 61., 62., 66. i t. 1. izreke)
Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba 2016/679 – Ispitanikovo pravo na pristup svojim podacima koji se obrađuju – Automatizirano donošenje odluka, uključujući izradu profila – Pravo na pristup smislenim informacijama o tome o kojoj je logici riječ prilikom izrade profila – Poštovanje prava i sloboda drugih – Pravo na zaštitu osobnih podataka trećih osoba i poslovne tajne – Odvagivanje relevantnih prava i interesa od strane nadležnog nadzornog tijela ili suda
(Uredba 2016/679 Europskog parlamenta i Vijeća, uv. izj. 63. i čl. 15. st. 1. t. (h); Direktiva 2016/943 Europskog parlamenta i Vijeća, čl. 2. st. 1.)
(t. 72.-76., t. 2. izreke)
Kratak prikaz
Nakon što mu je Verwaltungsgericht Wien (Upravni sud u Beču, Austrija) podnio zahtjev za prethodnu odluku, Sud razvija svoju nedavnu sudsku praksu koja se odnosi na prava osoba obuhvaćenih izradom profila radi ocjene njihove kreditne sposobnosti. (
1
) S jedne strane pojašnjava granice ispitanikova prava na pristup informacijama koje se odnose na obradu njegovih podataka. S druge strane, odlučuje o odvagivanju tog prava s pravom na zaštitu podataka trećih osoba ili poslovnih tajni.
Operator mobilne telefonije uskratio je osobi CK sklapanje ili produljenje ugovora o mobilnoj telefoniji. To se odbijanje temeljilo na njegovoj kreditnoj procjeni koju je automatizirano izvršilo društvo D & B specijalizirano za pružanje takvih procjena.
Svojom odlukom austrijsko tijelo za zaštitu podataka naložilo je društvu D & B da osobi CK dostavi smislene informacije o logici na kojoj se temelji automatizirano donošenje odluka na temelju osobnih podataka koji se odnose na osobu CK. Tužba koju je društvo D & B podnijelo protiv te odluke odbijena je odlukom Bundesverwaltungsgerichta (Savezni upravni sud, Austrija) od 23. listopada 2019. Međutim, Magistrat der Stadt Wien (Općinska uprava grada Beča, Austrija) odbio je zahtjev za prisilno izvršenje te sudske odluke koji je podnijela osoba CK.
Sud koji je uputio zahtjev, kojem je osoba CK podnijela tužbu protiv odluke te općinske uprave, traži od Suda da pojasni opseg informacija koje treba pružiti ispitaniku kako bi njegovo pravo na pristup predviđeno Općom uredbom o zaštiti podataka (
2
) bilo u potpunosti zajamčeno. Također od njega traži da pojasni može li se i u kojoj mjeri izuzećem koje se temelji na postojanju poslovne tajne ograničiti to pravo.
Ocjena Suda
Kao prvo, pojašnjavajući pravo osobe na koju se odnosi automatizirana odluka, uključujući izradu profila, na pristup „smislenim informacijama o tome o kojoj je logici riječ” u smislu članka 15. stavka 1. točke (h) OUZP-a, Sud smatra, na temelju različitih jezičnih verzija te odredbe, da se njezin tekst odnosi na sve relevantne informacije o postupku i načelima automatskog iskorištavanja osobnih podataka u svrhu postizanja određenog rezultata.
Sud zatim ističe da kontekstualno tumačenje te iste odredbe OUZP-a potvrđuje njezino doslovno tumačenje i da, osim toga, obveza transparentnosti koja se primjenjuje na sve podatke i informacije, uključujući one povezane s automatiziranim donošenjem odluka (
3
), zahtijeva da se te informacije pružaju u sažetom, transparentnom, razumljivom i lako dostupnom obliku.
Usto, Sud naglašava da iz ispitivanja ciljeva OUZP-a i osobito onih iz njezina članka 15. stavka 1. točke (h) proizlazi da pravo na dobivanje „smislene informacije o tome o kojoj je logici riječ” za automatizirano donošenje odluka u smislu te odredbe treba shvatiti kao pravo na objašnjenje postupka i konkretno primijenjenih načela za automatsko iskorištavanje osobnih podataka ispitanika kako bi se postigao određeni rezultat, poput profila kreditne sposobnosti. Kako bi se ispitaniku omogućilo da učinkovito ostvari prava koja su mu priznata OUZP-om (
4
), to se objašnjenje mora pružiti putem relevantnih informacija u sažetom, transparentnom, razumljivom i lako dostupnom obliku. Te zahtjeve ne mogu ispuniti ni puko priopćavanje složene matematičke formule, kao što je algoritam, ni detaljan opis svih faza automatiziranog donošenja odluka, s obzirom na to da nijedan od tih načina ne predstavlja dovoljno sažeto i razumljivo objašnjenje.
Sud zaključuje da se u „smislenim informacijama o tome o kojoj je logici riječ” za automatizirano donošenje odluka, u smislu članka 15. stavka 1. točke (h) OUZP-a, moraju opisati konkretno primijenjeni postupak i načela na način da ispitanik može razumjeti koji su se od njegovih osobnih podataka upotrebljavali prilikom automatiziranog donošenja odluka o kojem je riječ, pri čemu složenost postupaka koje treba provesti u okviru automatiziranog donošenja odluka ne može osloboditi voditelja obrade njegove dužnosti objašnjavanja.
Pojašnjava, što se konkretno tiče izrade profila poput one o kojoj je riječ u glavnom postupku, da bi sud koji je uputio zahtjev mogao, među ostalim, smatrati dovoljno transparentnom i razumljivom činjenicu obavještavanja ispitanika o mjeri u kojoj bi promjena na razini osobnih podataka koji su uzeti u obzir dovela do drukčijeg ishoda.
Kao drugo, što se tiče odvagivanja prava na pristup zajamčenog OUZP-om i prava na zaštitu podataka trećih osoba ili poslovnih tajni (
5
), Sud najprije podsjeća na svoju sudsku praksu prema kojoj nacionalni sud može smatrati da mu treba dostaviti osobne podatke stranaka ili trećih strana kako bi mogao, uz potpuno poznavanje činjenica i poštujući načelo proporcionalnosti, odvagnuti postojeće interese. Ta ga ocjena može, ovisno o slučaju, dovesti do toga da dopusti potpuno ili djelomično otkrivanje osobnih podataka suprotstavljenoj stranci koji su mu priopćeni, ako smatra da takvo otkrivanje ne prekoračuje ono što je nužno kako bi se zajamčilo djelotvorno uživanje prava koja pojedinci imaju na temelju članka 47. Povelje Europske unije o temeljnim pravima (
6
).
Nadalje, navodi da se ta sudska praksa u potpunosti može primijeniti na slučaj kada informacije koje se moraju pružiti ispitaniku po osnovi prava na pristup zajamčenog člankom 15. stavkom 1. točkom (h) OUZP-a mogu dovesti do negativnog utjecaja na prava i slobode drugih, osobito zato što sadržavaju osobne podatke trećih osoba zaštićene tom uredbom ili pak poslovnu tajnu. I u tom slučaju navedene informacije moraju se priopćiti nadležnom nadzornom tijelu ili sudu, koji moraju odvagnuti predmetna prava i interese kako bi utvrdili opseg ispitanikova prava na pristup osobnim podacima koji se na njega odnose.
Utvrđuje da se, s obzirom na nužnost takvog određivanja od slučaja do slučaja, članku 15. stavku 1. točki (h) OUZP-a protivi, među ostalim, primjena odredbe kao što je članak 4. stavak 6. DSG a, kojim se u načelu isključuje pravo ispitanika na pristup iz članka 15. OUZP-a ako bi takav pristup ugrozio poslovnu tajnu ili poslovnu tajnu voditelja obrade ili treće strane. U tom pogledu Sud podsjeća na to da država članica ne može konačno propisati rezultat odvagivanja od slučaja do slučaja predmetnih prava i interesa koje se nalaže pravom Unije (
7
).
Zaključno, Sud je presudio da članak 15. stavak 1. točku (h) OUZP-a treba tumačiti na način da je, u slučaju da voditelj obrade smatra da informacije koje treba pružiti ispitaniku u skladu s tom odredbom sadržavaju podatke trećih strana koji su zaštićeni tom uredbom ili poslovne tajne, taj voditelj dužan dostaviti te navodno zaštićene informacije nadležnom nadzornom tijelu ili sudu, koji su dužni odvagnuti predmetna prava i interese kako bi utvrdili opseg ispitanikova prava na pristup u skladu s člankom 15. OUZP-a.
(
1
)	Presuda od 7. prosinca 2023., SCHUFA Holding i dr. (Scoring) (C-634/21, EU:C:2023:957)
(
2
)	Članak 15. stavak 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35., u daljnjem tekstu: OUZP)
(
3
)	Na koje se odnosi članak 12. stavak 1. OUZP-a.
(
4
)	Osobito vidjeti članak 22. stavak 3. OUZP-a.
(
5
)	U smislu članka 2. točke 1. Direktive (EU) 2016/943 Europskog parlamenta i Vijeća od 8. lipnja 2016. o zaštiti neotkrivenih znanja i iskustva te poslovnih informacija (poslovne tajne) od nezakonitog pribavljanja, korištenja i otkrivanja (SL 2016., L 157, str. 1.)
(
6
)	Vidjeti presudu od 2. ožujka 2023., Norra Stockholm Bygg (C-268/21, EU:C:2023:145, t. 58.).
(
7
)	Vidjeti u tom smislu presudu od 7. prosinca 2023., SCHUFA Holding i dr. (Scoring) (C-634/21, EU:C:2023:957, t. 70. i navedenu sudsku praksu).