62022CJ0203_RES
Asia C‑203/22
CK
vastaan
Magistrat der Stadt Wien
(Ennakkoratkaisupyyntö - Verwaltungsgericht Wien)
Unionin tuomioistuimen tuomio (ensimmäinen jaosto) 27.2.2025
Ennakkoratkaisupyyntö – Henkilötietojen suoja – Asetus (EU) 2016/679 – 15 artiklan 1 kohdan h alakohta – Automaattinen päätöksenteko, mukaan lukien profilointi – Pisteytys – Luonnollisen henkilön luottokelpoisuuden arviointi – Pääsy merkityksellisiin tietoihin profilointiin liittyvästä logiikasta – Toimitettujen tietojen paikkansapitävyyden todentaminen – Direktiivi (EU) 2016/943 – 2 artiklan 1 alakohta – Liikesalaisuus – Kolmansien osapuolten henkilötiedot
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Rekisteröidyn oikeus saada pääsy käsiteltäviin häntä koskeviin tietoihin – Automaattinen päätöksenteko, mukaan lukien profilointi – Oikeus saada tutustua merkityksellisiin tietoihin profilointiin liittyvästä logiikasta – Laajuus
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 12 artiklan 1 kohta, 15 artiklan 1 kohdan h alakohta ja 3 kohta sekä 22 artiklan 1 ja 3 kohta)
(ks. 40–43, 47, 48, 50, 58, 59, 61, 62 ja 66 kohta sekä tuomiolauselman 1 kohta)
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Rekisteröidyn oikeus saada pääsy käsiteltäviin häntä koskeviin tietoihin – Automaattinen päätöksenteko, mukaan lukien profilointi – Oikeus saada tutustua merkityksellisiin tietoihin profilointiin liittyvästä logiikasta – Muille kuuluvien oikeuksien ja vapauksien kunnioittaminen – Oikeus kolmansien osapuolten henkilötietojen ja liikesalaisuuden suojaan – Toimivaltainen valvontaviranomainen tai tuomioistuin punnitsee kyseessä olevia oikeuksia ja etuja
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 johdanto-osan 63 perustelukappale sekä 15 artiklan 1 kohdan h alakohta; Euroopan parlamentin ja neuvoston direktiivin 2016/943 2 artiklan 1 ja 2 kohta)
(ks. 72–76 kohta ja tuomiolauselman 2 kohta)
Tiivistelmä
Unionin tuomioistuin, jolle Verwaltungsgericht Wien (Wienin hallintotuomioistuin, Itävalta) on esittänyt ennakkoratkaisupyynnön, kehittää viimeaikaista oikeuskäytäntöään, joka koskee niiden henkilöiden oikeuksia, joihin kohdistetaan profilointia heidän luottokelpoisuutensa arvioimiseksi (
1
). Yhtäältä se täsmentää rekisteröidyn oikeutta saada pääsy tietoihin häntä koskevien tietojen käsittelystä. Toisaalta se ottaa kantaa tämän oikeuden ja kolmansien osapuolten tietosuojaa tai liikesalaisuuksien suojaa koskevan oikeuden punnintaan.
Matkapuhelinoperaattori kieltäytyi tekemästä tai jatkamasta CK:n kanssa matkapuhelinsopimusta. Tämä kieltäytyminen perustui D & B:n, joka on tällaisten arviointien suorittamiseen erikoistunut yritys, automatisoituun luottokelpoisuutta koskevaan arviointiin.
Itävallan tietosuojaviranomainen määräsi päätöksellään D & B:n toimittamaan CK:lle merkitykselliset tiedot CK:n henkilötietoihin perustuvaan automaattiseen päätökseen liittyvästä logiikasta. D & B:n tästä päätöksestä tekemä valitus hylättiin Bundesverwaltungsgerichtin (liittovaltion ylin hallintotuomioistuin, Itävalta) 23.10.2019 antamalla ratkaisulla. Magistrat der Stadt Wien (Wienin kaupunginhallitus, Itävalta) hylkäsi CK:n kyseisen tuomioistuinratkaisun pakkotäytäntöönpanoa koskevan pyynnön.
Ennakkoratkaisua pyytänyt tuomioistuin, jossa CK on nostanut kanteen kyseisen kaupunginhallituksen päätöksestä, pyytää unionin tuomioistuinta selventämään niiden tietojen laajuutta, jotka rekisteröidylle on toimitettava, jotta hänen yleisessä tietosuoja-asetuksessa säädetty tiedonsaantioikeus (
2
) voidaan taata täysimääräisesti. Se pyytää unionin tuomioistuinta myös täsmentämään, onko ja missä määrin liikesalaisuutta koskeva poikkeus omiaan rajoittamaan tätä oikeutta.
Unionin tuomioistuimen arviointi asiasta
Ensinnäkin selventäessään sen henkilön, johon automatisoitu päätös vaikuttaa, profilointi mukaan lukien, oikeutta saada yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan h alakohdassa tarkoitettuja merkityksellisiä tietoja käsittelyn taustalla olevasta logiikasta, unionin tuomioistuin katsoo kyseisen säännöksen eri kieliversioiden perusteella, että sen sanamuoto viittaa kaikkiin asiaankuuluviin tietoihin, jotka liittyvät menettelyyn ja periaatteisiin, jotka koskevat henkilötietojen hyödyntämistä automaattisesti tietyn tuloksen aikaansaamiseksi kyseisten henkilötietojen perusteella.
Unionin tuomioistuin toteaa seuraavaksi, että yleisen tietosuoja-asetuksen saman säännöksen asiayhteyden mukainen tulkinta tukee sen sanamuodon mukaista tulkintaa ja että lisäksi tietojen läpinäkyvyyttä koskeva vaatimus, automatisoituun päätöksentekoon liittyvät tiedot mukaan lukien (
3
), edellyttää, että nämä tiedot toimitetaan tiiviisti esitetyssä, läpinäkyvässä, ymmärrettävässä ja helposti saatavilla olevassa muodossa.
Unionin tuomioistuin korostaa lisäksi, että yleisen tietosuoja-asetuksen ja erityisesti sen 15 artiklan 1 kohdan h alakohdan tavoitteen tarkastelusta ilmenee, että tässä säännöksessä tarkoitettu oikeus saada merkityksellisiä tietoja automaattiseen päätöksentekoon liittyvästä logiikasta on ymmärrettävä oikeudeksi saada selitys menettelystä ja periaatteista, joita tosiasiallisesti sovelletaan rekisteröidyn henkilötietojen hyödyntämiseen automatisoidusti tietyn tuloksen, kuten luottokelpoisuusprofiilin, saavuttamiseksi kyseisten henkilötietojen perusteella. Jotta rekisteröity voisi käyttää tehokkaasti yleisessä tietosuoja-asetuksessa (
4
) hänelle annettuja oikeuksia, tämä selitys on annettava asiaankuuluvien tietojen avulla tiiviisti esitetyssä, läpinäkyvässä sekä ymmärrettävässä ja helposti saatavilla olevassa muodossa. Näitä vaatimuksia ei voida täyttää pelkästään algoritmin kaltaisen monimutkaisen matemaattisen kaavan ilmoittamisella eikä automaattisen päätöksenteon kaikkien vaiheiden yksityiskohtaisella kuvauksella, koska kumpikaan näistä ei ole riittävän tiivis ja ymmärrettävä selitys.
Unionin tuomioistuin päättelee, että yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan h alakohdassa tarkoitetuissa merkityksellisissä tiedoissa automaattiseen päätöksentekoon liittyvästä logiikasta on kuvattava menettely ja periaatteet, joita tosiasiallisesti sovelletaan, siten, että rekisteröity voi ymmärtää, mitä hänen henkilötietojaan on käytetty ja millä tavoin kyseessä olevassa automaattisessa päätöksenteossa, eikä automaattisen päätöksenteon yhteydessä toteutettavien toimien monimutkaisuus voi vapauttaa rekisterinpitäjää selitysvelvollisuudesta.
Se täsmentää erityisesti käsiteltävässä asiassa kyseessä olevan kaltaisesta profiloinnista, että ennakkoratkaisua pyytänyt tuomioistuin voisi katsoa riittävän läpinäkyväksi ja ymmärrettäväksi sen, että rekisteröidylle ilmoitetaan, missä määrin huomioon otettujen henkilötietojen muuttuminen olisi johtanut erilaiseen lopputulokseen.
Siltä osin kuin on toiseksi kyse yleisessä tietosuoja-asetuksessa taatun tiedonsaantioikeuden ja kolmansien osapuolten tietosuojaa tai liikesalaisuuksien suojaa koskevan oikeuden vertailusta (
5
), unionin tuomioistuin muistuttaa aluksi oikeuskäytännöstään, jonka mukaan kansallinen tuomioistuin voi katsoa, että asianosaisten tai kolmansien henkilöiden henkilötiedot on toimitettava tuomioistuimelle, jotta tämä voi kaikista asiaan vaikuttavista seikoista tietoisena ja suhteellisuusperiaatetta noudattaen punnita kyseessä olevia intressejä. Tämä arviointi voi tapauksesta riippuen johtaa siihen, että tuomioistuin sallii sille näin toimitettujen henkilötietojen ilmaisemisen vastapuolelle kokonaan tai osittain, jos se katsoo, että niiden ilmaisemisella ei ylitetä sitä, mikä on tarpeen niiden oikeuksien tehokkaan hyödyntämisen varmistamiseksi, joita yksityisillä on perusoikeuskirjan 47 artiklan nojalla (
6
).
Tämän jälkeen se toteaa, että tätä oikeuskäytäntöä voidaan soveltaa täysimääräisesti tilanteeseen, jossa rekisteröidylle yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan h alakohdassa taatun tietoihin pääsyä koskevan oikeuden nojalla toimitettavat tiedot voivat loukata muille kuuluvia oikeuksia ja vapauksia erityisesti, koska niihin sisältyy kyseisellä asetuksella suojattuja kolmansien osapuolten henkilötietoja tai liikesalaisuus. Myös tässä tapauksessa kyseiset tiedot on toimitettava toimivaltaiselle valvontaviranomaiselle tai tuomioistuimelle, jonka on punnittava kyseessä olevia oikeuksia ja intressejä sen määrittämiseksi, kuinka laaja rekisteröidyn oikeus saada tutustua itseään koskeviin henkilötietoihin on.
Se toteaa, että kun otetaan huomioon tällaisen tapauskohtaisen määrittämisen tarve, yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan h alakohta on esteenä muun muassa sille, että sovelletaan kansallista säännöstä, jossa suljetaan lähtökohtaisesti pois rekisteröidyn oikeus saada tutustua tietoihin, jos näihin tietoihin tutustuminen vaarantaisi rekisterinpitäjän tai kolmannen osapuolen liikesalaisuuden tai yrityssalaisuuden. Tältä osin unionin tuomioistuin muistuttaa, että jäsenvaltio ei voi vahvistaa lopullisesti, mikä unionin oikeudessa edellytetyn vastakkaisten oikeuksien ja intressien punnitsemisen tulos on (
7
).
Unionin tuomioistuin katsoo lopuksi, että yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan h alakohtaa on tulkittava siten, että jos rekisterinpitäjä katsoo, että rekisteröidylle tämän säännöksen mukaisesti toimitettavat tiedot sisältävät kyseisellä asetuksella suojattuja kolmansien osapuolten tietoja tai direktiivin 2016/943 2 artiklan 1 alakohdassa tarkoitettuja liikesalaisuuksia, kyseisen rekisterinpitäjän on toimitettava nämä väitetysti suojatut tiedot toimivaltaiselle valvontaviranomaiselle tai tuomioistuimelle, jonka on punnittava kyseessä olevia oikeuksia ja etuja mainitun asetuksen 15 artiklassa säädetyn rekisteröidyllä olevan tietoihin pääsyä koskevan oikeuden laajuuden määrittämiseksi.
(
1
)	Tuomio 7.12.2023, SCHUFA Holding ym. (Pisteytys) (C‑634/21, EU:C:2023:957).
(
2
)	Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) 15 artiklan 1 kohdan h alakohta.
(
3
)	Yleisen tietosuoja-asetuksen 12 artiklan 1 kohta.
(
4
)	Erityisesti yleisen tietosuoja-asetuksen 22 artiklan 3 kohta.
(
5
)	Julkistamattoman taitotiedon ja liiketoimintatiedon (liikesalaisuuksien) suojaamisesta laittomalta hankinnalta, käytöltä ja ilmaisemiselta 8.6.2016 annetun Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/943 (EUVL 2016, L 157, s. 1) 2 artiklan 1 alakohta.
(
6
)	Tuomio 2.3.2023, Norra Stockholm Bygg (C‑268/21, EU:C:2023:145, 58 kohta).
(
7
)	Ks. vastaavasti tuomio 7.12.2023, SCHUFA Holding ym. (Pisteytys) (C‑634/21, EU:C:2023:957, 70 kohta oikeuskäytäntöviittauksineen).