62022CJ0203_RES
Υπόθεση C‑26/22
CK
κατά
Magistrat der Stadt Wien
(αίτηση του Verwaltungsgericht Wien για την έκδοση προδικαστικής αποφάσεως)
Απόφαση του Δικαστηρίου (πρώτο τμήμα) της 27ης Φεβρουαρίου 2025
«Προδικαστική παραπομπή – Προστασία των δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 15, παράγραφος 1, στοιχείο ηʹ – Αυτοματοποιημένη λήψη αποφάσεως, συμπεριλαμβανομένης της καταρτίσεως προφίλ – “Scoring” – Εκτίμηση της φερεγγυότητας φυσικού προσώπου – Πρόσβαση στις σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται για την κατάρτιση προφίλ – Έλεγχος της ακρίβειας των παρεχομένων πληροφοριών – Κανονισμός (ΕΕ) 2016/943 – Άρθρο 2, σημείο 1 – Εμπορικό απόρρητο – Δεδομένα προσωπικού χαρακτήρα τρίτων»
Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2016/679 – Δικαίωμα προσβάσεως του υποκειμένου των δεδομένων στα δεδομένα του που υποβάλλονται σε επεξεργασία – Αυτοματοποιημένη λήψη αποφάσεων, συμπεριλαμβανομένης της καταρτίσεως προφίλ – Δικαίωμα προσβάσεως στις σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται για την κατάρτιση προφίλ – Έκταση
(Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρα 12 § 1, 15 §§ 1, στοιχείο ηʹ, και 3, και 22 §§ 1 και 3)
(βλ. σκέψεις 40-43, 47, 48, 50, 58, 59, 61, 62, 66, διατακτ. 1)
Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2016/679 – Δικαίωμα προσβάσεως του υποκειμένου των δεδομένων στα δεδομένα του που υποβάλλονται σε επεξεργασία – Αυτοματοποιημένη λήψη αποφάσεων, συμπεριλαμβανομένης της καταρτίσεως προφίλ – Δικαίωμα προσβάσεως στις σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται για την κατάρτιση προφίλ – Σεβασμός των δικαιωμάτων και των ελευθεριών τρίτων – Δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα τρίτων και του εμπορικού απορρήτου – Στάθμιση των συγκρουόμενων δικαιωμάτων και συμφερόντων από την αρμόδια εποπτική αρχή ή από το αρμόδιο δικαστήριο
(Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, αιτιολογική σκέψη 63 και άρθρο 15 § 1, στοιχείο ηʹ· οδηγία 2016/943 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρο 2, σημείο 1)
(βλ. σκέψεις 72-76, διατακτ. 2)
Σύνοψη
Επιληφθέν αιτήσεως προδικαστικής αποφάσεως την οποία υπέβαλε το Verwaltungsgericht Wien (διοικητικό πρωτοδικείο Βιέννης, Αυστρία), το Δικαστήριο αναπτύσσει την πρόσφατη νομολογία του σχετικά με τα δικαιώματα των προσώπων όσον αφορά την κατάρτιση του προφίλ τους για την εκτίμηση της φερεγγυότητάς τους (
1
). Αφενός, διευκρινίζει τα όρια του δικαιώματος προσβάσεως του υποκειμένου των δεδομένων στις πληροφορίες σχετικά με την επεξεργασία των δεδομένων του. Αφετέρου, αποφαίνεται επί της σταθμίσεως του δικαιώματος αυτού με το δικαίωμα προστασίας των δεδομένων τρίτων ή του εμπορικού απορρήτου.
Πάροχος υπηρεσιών κινητής τηλεφωνίας αρνήθηκε να συνάψει ή να ανανεώσει σύμβαση κινητής τηλεφωνίας με τη CK. Η άρνηση αυτή στηριζόταν σε αυτοματοποιημένη αξιολόγηση της πιστοληπτικής της ικανότητας στην οποία είχε προβεί η D & B, επιχείρηση ειδικευμένη στην παροχή τέτοιων αξιολογήσεων.
Με την απόφασή της, η αυστριακή αρχή προστασίας δεδομένων διέταξε την D & B να γνωστοποιήσει στη CK σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθήθηκε για την αυτοματοποιημένη λήψη της αποφάσεως βάσει των δεδομένων προσωπικού χαρακτήρα της CK. Η προσφυγή την οποία άσκησε η D & B κατά της ανωτέρω αποφάσεως απορρίφθηκε με απόφαση της 23ης Οκτωβρίου 2019 του Bundesverwaltungsgericht (Ομοσπονδιακού Διοικητικού Δικαστηρίου, Αυστρία). Πλην όμως, η Magistrat der Stadt Wien (δημοτική αρχή του Δήμου Βιέννης, Αυστρία) απέρριψε την αίτηση της CK για την αναγκαστική εκτέλεση της εν λόγω δικαστικής αποφάσεως.
Επιληφθέν ανακοπής που άσκησε η CK κατά της αποφάσεως της εν λόγω δημοτικής αρχής, το αιτούν δικαστήριο ζητεί από το Δικαστήριο να διευκρινίσει την έκταση των πληροφοριών που πρέπει να παρέχονται στο υποκείμενο των δεδομένων προκειμένου να διασφαλισθεί πλήρως το δικαίωμά του προσβάσεως κατά τα προβλεπόμενα από τον γενικό κανονισμό για την προστασία δεδομένων (
2
). Ζητεί επίσης από το Δικαστήριο να διευκρινίσει αν και σε ποιον βαθμό μπορεί να περιοριστεί το εν λόγω δικαίωμα κατ’ επίκληση του εμπορικού απορρήτου.
Εκτίμηση του Δικαστηρίου
Το Δικαστήριο παρέχει, κατά πρώτον, διευκρινίσεις σχετικά με το δικαίωμα του προσώπου που θίγεται από αυτοματοποιημένη απόφαση, συμπεριλαμβανομένης της καταρτίσεως προφίλ, να έχει πρόσβαση στις «σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται», κατά την έννοια του άρθρου 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ, και εκτιμά, βάσει των διαφόρων γλωσσικών αποδόσεων της διατάξεως αυτής, ότι το γράμμα της διάταξης αυτής καλύπτει κάθε σημαντική πληροφορία σχετικά με τη διαδικασία και τις αρχές που διέπουν την αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα με σκοπό την επίτευξη συγκεκριμένου αποτελέσματος.
Εν συνεχεία, το Δικαστήριο επισημαίνει ότι η συστηματική ερμηνεία της ίδιας διατάξεως του ΓΚΠΔ επιρρωννύει τη γραμματική ερμηνεία της και ότι, εξάλλου, η απαίτηση διαφάνειας που ισχύει για όλα τα δεδομένα και τις πληροφορίες, συμπεριλαμβανομένων εκείνων που σχετίζονται με την αυτοματοποιημένη λήψη αποφάσεων (
3
), επιτάσσει οι πληροφορίες αυτές να παρέχονται με συνοπτικό, διαφανή, κατανοητό και εύκολα προσβάσιμο τρόπο.
Προσέτι, το Δικαστήριο υπογραμμίζει ότι από την εξέταση των σκοπών του ΓΚΠΔ και, ειδικότερα, των σκοπών του άρθρου του 15, παράγραφος 1, στοιχείο ηʹ, προκύπτει ότι το δικαίωμα λήψεως «σημαντικών πληροφοριών σχετικά με τη λογική που ακολουθείται» για την αυτοματοποιημένη λήψη αποφάσεων, κατά την έννοια της ως άνω διατάξεως, πρέπει να νοείται ως δικαίωμα στην επεξήγηση της διαδικασίας και των αρχών που εφαρμόζονται in concreto για την αυτοματοποιημένη επεξεργασία των δεδομένων προσωπικού χαρακτήρα του υποκειμένου των δεδομένων με σκοπό την επίτευξη συγκεκριμένου αποτελέσματος, όπως είναι η κατάρτιση προφίλ φερεγγυότητας. Προκειμένου το υποκείμενο των δεδομένων να είναι σε θέση να ασκήσει αποτελεσματικά τα δικαιώματα που του αναγνωρίζει ο ΓΚΠΔ (
4
), η εν λόγω επεξήγηση πρέπει να παρέχεται μέσω σχετικών πληροφοριών και με τρόπο συνοπτικό, διαφανή, κατανοητό και εύκολα προσβάσιμο. Οι απαιτήσεις αυτές δεν πληρούνται ούτε με απλή κοινοποίηση ενός περίπλοκου μαθηματικού τύπου, όπως ένας αλγόριθμος, ούτε με λεπτομερή περιγραφή όλων των σταδίων της αυτοματοποιημένης λήψεως αποφάσεων, στο μέτρο που με τους τρόπους αυτούς δεν παρέχεται αρκούντως συνοπτική και κατανοητή επεξήγηση.
Το Δικαστήριο καταλήγει στο συμπέρασμα ότι οι «σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται» σε μια αυτοματοποιημένη λήψη αποφάσεων, κατά την έννοια του άρθρου 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ, πρέπει να περιγράφουν τη διαδικασία και τις αρχές που εφαρμόζονται in concreto κατά τρόπον ώστε το υποκείμενο των δεδομένων να μπορεί να κατανοήσει ποια από τα δεδομένα προσωπικού χαρακτήρα που το αφορούν χρησιμοποιήθηκαν κατά την επίμαχη αυτοματοποιημένη λήψη αποφάσεως και με ποιον τρόπο, χωρίς να μπορεί η πολυπλοκότητα των πράξεων που πρέπει να πραγματοποιηθούν στο πλαίσιο αυτοματοποιημένης λήψεως αποφάσεων να απαλλάξει τον υπεύθυνο επεξεργασίας από το καθήκον του παροχής επεξηγήσεων.
Όσον αφορά ειδικώς την κατάρτιση προφίλ όπως η επίμαχη στην υπόθεση της κύριας δίκης, το Δικαστήριο διευκρινίζει ότι το αιτούν δικαστήριο θα μπορούσε, μεταξύ άλλων, να θεωρήσει ως αρκούντως διαφανή και κατανοητή την ενημέρωση του υποκειμένου των δεδομένων σχετικά με τον βαθμό στον οποίο τυχόν διαφοροποίηση των δεδομένων προσωπικού χαρακτήρα που ελήφθησαν υπόψη θα οδηγούσε σε διαφορετικό αποτέλεσμα.
Κατά δεύτερον, όσον αφορά τη στάθμιση μεταξύ του δικαιώματος προσβάσεως που κατοχυρώνεται στον ΓΚΠΔ και του δικαιώματος προστασίας των δεδομένων τρίτων ή του εμπορικού απορρήτου (
5
), το Δικαστήριο υπενθυμίζει κατ’ αρχάς τη νομολογία του κατά την οποία το εθνικό δικαστήριο μπορεί να κρίνει ότι τα δεδομένα προσωπικού χαρακτήρα των διαδίκων ή τρίτων πρέπει να του γνωστοποιούνται προκειμένου να μπορέσει να σταθμίσει τα διακυβευόμενα συμφέροντα με πλήρη επίγνωση και τηρουμένης της αρχής της αναλογικότητας. Αναλόγως της περιπτώσεως, η εκτίμηση αυτή ενδέχεται να οδηγήσει το εθνικό δικαστήριο στο να επιτρέψει την πλήρη ή τη μερική γνωστοποίηση στον αντίδικο των δεδομένων προσωπικού χαρακτήρα που του κοινοποιήθηκαν, εφόσον κρίνει ότι η γνωστοποίησή τους δεν βαίνει πέραν του αναγκαίου μέτρου για τη διασφάλιση της αποτελεσματικής απολαύσεως των δικαιωμάτων που οι ιδιώτες αντλούν από το άρθρο 47 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης (
6
).
Εν συνεχεία, επισημαίνει ότι η νομολογία αυτή μπορεί να εφαρμοσθεί πλήρως στην περίπτωση κατά την οποία οι πληροφορίες που πρέπει να παρασχεθούν στο υποκείμενο των δεδομένων βάσει του δικαιώματος προσβάσεως που κατοχυρώνεται στο άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ ενδέχεται να συνεπάγονται προσβολή των δικαιωμάτων και των ελευθεριών τρίτων, ιδίως εφόσον περιέχουν δεδομένα προσωπικού χαρακτήρα τρίτων τα οποία προστατεύονται από τον κανονισμό ή από το εμπορικό απόρρητο. Και στην περίπτωση αυτή, οι εν λόγω πληροφορίες πρέπει να κοινοποιούνται στην αρμόδια εποπτική αρχή ή στο αρμόδιο δικαστήριο, σε αυτά εναπόκειται δε η στάθμιση των επίμαχων δικαιωμάτων και συμφερόντων προκειμένου να καθορισθεί η έκταση του δικαιώματος προσβάσεως του υποκειμένου των δεδομένων στα δεδομένα προσωπικού χαρακτήρα που το αφορούν.
Το Δικαστήριο διαπιστώνει ότι, λαμβανομένης υπόψη της αναγκαιότητας ενός τέτοιου περιπτωσιολογικού προσδιορισμού, το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ αντιτίθεται, μεταξύ άλλων, στην εφαρμογή εθνικής διατάξεως η οποία αποκλείει, κατ’ αρχήν, το δικαίωμα προσβάσεως του υποκειμένου των δεδομένων σε περιπτώσεις κατά τις οποίες η παροχή προσβάσεως θα έθιγε εμπορικό ή επιχειρηματικό απόρρητο του υπευθύνου επεξεργασίας ή τρίτων. Συναφώς, το Δικαστήριο υπενθυμίζει ότι ένα κράτος μέλος δεν μπορεί να προδιαγράψει με απόλυτο τρόπο το αποτέλεσμα της κατά περίπτωση σταθμίσεως των επίμαχων δικαιωμάτων και συμφερόντων την οποία επιβάλλει το δίκαιο της Ένωσης (
7
).
Εν κατακλείδι, το Δικαστήριο αποφαίνεται ότι το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ έχει την έννοια ότι, σε περίπτωση που ο υπεύθυνος επεξεργασίας θεωρεί ότι οι πληροφορίες που πρέπει να παρασχεθούν στο υποκείμενο των δεδομένων σύμφωνα με τη διάταξη αυτήν περιλαμβάνουν δεδομένα τρίτων που προστατεύονται από τον ως άνω κανονισμό ή από το εμπορικό απόρρητο, ο υπεύθυνος επεξεργασίας υποχρεούται να κοινοποιήσει τις φερόμενες ως προστατευόμενες πληροφορίες στην αρμόδια εποπτική αρχή ή στο αρμόδιο δικαστήριο, τα οποία οφείλουν να σταθμίσουν τα συγκρουόμενα δικαιώματα και συμφέροντα προκειμένου να καθορισθεί η έκταση του δικαιώματος προσβάσεως του υποκειμένου των δεδομένων που προβλέπεται στο άρθρο 15 του ΓΚΠΔ.
(
1
)	Απόφαση της 7ης Δεκεμβρίου 2023, SCHUFA Holding κ.λπ. (Scoring) (C‑634/21, EU:C:2023:957).
(
2
)	Άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, στο εξής: ΓΚΠΔ).
(
3
)	Η οποία προβλέπεται στο άρθρο 12, παράγραφος 1, του ΓΚΠΔ.
(
4
)	Ιδίως, το άρθρο 22, παράγραφος 3, του ΓΚΠΔ.
(
5
)	Κατά την έννοια του άρθρου 2, σημείο 1, της οδηγίας (EE) 2016/943 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 8ης Ιουνίου 2016, περί προστασίας της τεχνογνωσίας και των επιχειρηματικών πληροφοριών που δεν έχουν αποκαλυφθεί (εμπορικό απόρρητο) από την παράνομη απόκτηση, χρήση και αποκάλυψή τους (ΕΕ 2016, L 157, σ. 1)
(
6
)	Απόφαση της 2ας Μαρτίου 2023, Norra Stockholm Bygg (C‑268/21, EU:C:2023:145, σκέψη 58).
(
7
)	Πρβλ. απόφαση της 7ης Δεκεμβρίου 2023, SCHUFA Holding κ.λπ. (Scoring) (C‑634/21, EU:C:2023:957, σκέψη 70 και εκεί μνημονευόμενη νομολογία).