Sag C-203/22
CK
mod
Magistrat der Stadt Wien
(anmodning om præjudiciel afgørelse indgivet af Verwaltungsgericht Wien)
Domstolens dom (Første Afdeling) af 27. februar 2025
» Præjudiciel forelæggelse – beskyttelse af personoplysninger – forordning (EU) 2016/679 – artikel 15, stk. 1, litra h) – automatiske afgørelser, herunder profilering – »scoring« – vurdering af en fysisk persons kreditværdighed – adgang til meningsfulde oplysninger om logikken bag profilering – kontrol af de forelagte oplysningers korrekthed – direktiv (EU) 2016/943 – artikel 2, nr. 1) – forretningshemmelighed – personoplysninger om tredjemand «
1.        Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – den registreredes ret til sine personoplysninger, der er genstand for behandling – automatiske afgørelser, herunder profilering – adgang til meningsfulde oplysninger om logikken bag profilering – rækkevidde
[Europa-Parlamentets og Rådets forordning 2016/679, art. 12, stk. 1, art. 15, stk. 1, litra h), art. 15, stk. 3, og art. 22, stk. 1 og 3]
(jf. præmis 40-43, 47, 48, 50, 58, 59, 61, 62 og 66 og domskonkl. 1)
2.        Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – den registreredes ret til sine personoplysninger, der er genstand for behandling – automatiske afgørelser, herunder profilering – adgang til meningsfulde oplysninger om logikken bag profilering – overholdelse af andres rettigheder og frihedsrettigheder – ret til beskyttelse af personoplysninger om tredjemand og forretningshemmeligheden – afvejning af de omhandlede rettigheder og interesser foretaget af tilsynsmyndigheden eller den kompetente ret
[Europa-Parlamentets og Rådets forordning 2016/679, 63. betragtning og art. 15, stk. 1, litra h); Europa-Parlamentets og Rådets direktiv 2016/943, art. 2, nr. 1)]
(jf. præmis 72-76 og domskonkl. 2)
Résumé
I forbindelse med en præjudiciel forelæggelse fra Verwaltungsgericht Wien (den regionale forvaltningsdomstol i Wien, Østrig) videreudviklede Domstolen sin seneste praksis vedrørende rettighederne for personer, der er berørt af en profilering med henblik på vurderingen af deres kreditværdighed (1). Den præciserede på den ene side omfanget af den registreredes ret til indsigt i oplysninger vedrørende behandlingen af vedkommendes oplysninger. På den anden side udtalte den sig om afvejningen af denne ret mod retten til beskyttelse af oplysninger om tredjemand eller forretningshemmeligheder.
En mobiloperatør nægtede at indgå eller forlænge en mobiltelefoniaftale med CK. Afslaget var baseret på en automatisk kreditvurdering, som var foretaget af D & B, en virksomhed, der er specialiseret i sådanne vurderinger.
Ved sin afgørelse pålagde den østrigske databeskyttelsesmyndighed D & B at give CK meningsfulde oplysninger om logikken bag den automatiske afgørelse, der var truffet på grundlag af personoplysningerne om CK. D & B anlagde sag til prøvelse af denne afgørelse ved Bundesverwaltungsgericht (forbundsdomstol i forvaltningsretlige sager, Østrig), som ved afgørelse af 23. oktober 2019 frifandt sagsøgte. Den anmodning om tvangsfuldbyrdelse af denne retsafgørelse, som CK indgav til Magistrat der Stadt Wien (den kommunale forvaltning i Wien, Østrig), blev imidlertid afslået.
CK anlagde sag til prøvelse af den kommunale forvaltnings afgørelse ved den forelæggende ret, som anmodede Domstolen om at præcisere omfanget af de oplysninger, der skal gives til den registrerede, for at vedkommendes indsigtsret i henhold til den generelle forordning om databeskyttelse (2) er sikret fuldt ud. Den forelæggende ret ønskede ligeledes oplyst, om og i hvilket omfang undtagelsen om, at der foreligger en forretningshemmelighed, kan begrænse denne ret.
Domstolens bemærkninger
For det første fastslog Domstolen som en præcisering af retten for en person, der er berørt af en automatisk afgørelse, herunder profilering, til at få adgang til »meningsfulde oplysninger om logikken« som omhandlet i databeskyttelsesforordningens artikel 15, stk. 1, litra h), på grundlag af de forskellige sprogversioner af denne bestemmelse, at ordlyden heraf omfatter alle relevante oplysninger om proceduren og principperne for automatisk udnyttelse af personoplysninger med henblik på at opnå et bestemt resultat.
Domstolen bemærkede dernæst, at fortolkningen af samme bestemmelse i databeskyttelsesforordningen ud fra sammenhængen understøtter fortolkningen på grundlag af ordlyden, og at den gennemsigtighedsforpligtelse, der finder anvendelse på alle dataene og oplysningerne, herunder dem, der er knyttet til en automatisk afgørelse (3), kræver, at disse oplysninger skal gives i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form.
Domstolen fremhævede desuden, at det fremgår af undersøgelsen af formålene med databeskyttelsesforordningen og navnlig med dens artikel 15, stk. 1, litra h), at retten til at få »meningsfulde oplysninger om logikken« bag en automatisk afgørelse som omhandlet i denne bestemmelse skal forstås som en ret til at få en forklaring på den procedure og de principper, der konkret er anvendt til automatisk at udnytte personoplysningerne om den registrerede med henblik på at opnå et bestemt resultat, såsom en kreditværdighedsprofil. Med henblik på at gøre det muligt for den registrerede effektivt at udøve sine rettigheder i henhold til databeskyttelsesforordningen (4) skal denne forklaring gives ved hjælp af relevante oplysninger og i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form. Disse krav kan hverken opfyldes ved blot at fremsende en kompleks matematisk formel, såsom en algoritme, eller ved at give en detaljeret beskrivelse af alle etaper i en automatisk afgørelse, da ingen af disse metoder udgør en tilstrækkelig kortfattet og letforståelig forklaring.
Domstolen konkluderede, at de »meningsfulde oplysninger om logikken« bag en automatisk afgørelse som omhandlet i databeskyttelsesforordningens artikel 15, stk. 1, litra h), skal beskrive den procedure og de principper, der konkret er anvendt, på en sådan måde, at den registrerede kan forstå, hvilke af vedkommendes personoplysninger der blev anvendt på hvilken måde, da den automatiske afgørelse blev truffet, idet kompleksiteten af de operationer, der skal udføres i forbindelse med en automatisk afgørelse, ikke kan fritage den dataansvarlige for forklaringspligten.
Den præciserede hvad særligt angår en profilering som den i denne sag omhandlede, at den forelæggende ret bl.a. kan anse det for tilstrækkelig gennemsigtigt og letforståeligt, at den registrerede informeres om, i hvilket omfang en ændring i de personoplysninger, der er taget hensyn til, ville have ført til et andet resultat.
For det andet bemærkede Domstolen for så vidt angår afvejningen mellem den indsigtsret, der er sikret ved databeskyttelsesforordningen, og retten til beskyttelse af tredjemands oplysninger eller forretningshemmeligheder (5) indledningsvis, at det fremgår af retspraksis, at en national retsinstans kan vurdere, at parternes eller tredjemands personoplysninger skal fremlægges for den, således at den med fuldt kendskab til omstændighederne og under overholdelse af proportionalitetsprincippet kan afveje de foreliggende interesser. Denne vurdering kan i givet fald føre til, at den nationale retsinstans beslutter helt eller delvist at videregive de personoplysninger, der er blevet fremlagt for den, til modparten, hvis den finder, at en sådan udlevering ikke går ud over, hvad der er nødvendigt for at sikre den effektive udøvelse af de rettigheder, som tilkommer borgerne i henhold til artikel 47 i Den Europæiske Unions charter om grundlæggende rettigheder (6).
Dernæst anførte Domstolen, at denne retspraksis fuldt ud kan overføres på det tilfælde, hvor de oplysninger, som skal gives til den registrerede i medfør af den indsigtsret, der er sikret ved databeskyttelsesforordningens artikel 15, stk. 1, litra h), kan medføre en krænkelse af andres rettigheder og frihedsrettigheder, bl.a. fordi de indeholder personoplysninger om tredjemand, som er beskyttet ved den nævnte forordning, eller en forretningshemmelighed. I dette tilfælde skal de nævnte oplysninger også videregives til den kompetente tilsynsmyndighed eller den kompetente ret, som skal afveje de omhandlede rettigheder og interesser med henblik på at fastlægge omfanget af den registreredes ret til indsigt i personoplysninger vedrørende den pågældende.
Den fastslog, at da dette skal fastlægges fra sag til sag, er databeskyttelsesforordningens artikel 15, stk. 1, litra h), bl.a. til hinder for anvendelsen af en national bestemmelse, hvorefter den registrerede i princippet ikke har indsigtsret, hvis videregivelse af de pågældende oplysninger ville udgøre en trussel mod en forretningshemmelighed hos den dataansvarlige eller andre. Domstolen bemærkede i denne forbindelse, at en medlemsstat ikke definitivt kan foreskrive resultatet af en afvejning fra sag til sag af de omhandlede rettigheder og interesser, der skal foretages i henhold til EU-retten (7).
Sammenfattende fastslog Domstolen, at databeskyttelsesforordningens artikel 15, stk. 1, litra h), skal fortolkes således, at den dataansvarlige, hvis denne er af den opfattelse, at de oplysninger, der skal gives til den registrerede i henhold til denne bestemmelse, omfatter oplysninger om tredjemand, som er beskyttet i henhold til forordningen, eller forretningshemmeligheder, er forpligtet til at videregive disse angiveligt beskyttede oplysninger til den kompetente tilsynsmyndighed eller den kompetente ret, som skal afveje de omhandlede rettigheder og interesser med henblik på at fastlægge omfanget af den registreredes indsigtsret i henhold til databeskyttelsesforordningens artikel 15.
1 Dom af 7.12.2023, SCHUFA Holding m.fl. (Scoring) (C-634/21, EU:C:2023:957).
2      Artikel 15, stk. 1, litra h), i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).
3      Jf. databeskyttelsesforordningens artikel 12, stk. 1.
4      Navnlig databeskyttelsesforordningens artikel 22, stk. 3.
5      Som omhandlet i artikel 2, nr. 1), i Europa-Parlamentets og Rådets direktiv (EU) 2016/943 af 8.6.2016 om beskyttelse af fortrolig knowhow og fortrolige forretningsoplysninger (forretningshemmeligheder) mod ulovlig erhvervelse, brug og videregivelse (EUT 2016, L 157, s. 1).
6      Dom af 2.3.2023, Norra Stockholm Bygg (C-268/21, EU:C:2023:145, præmis 58).
7      Jf. i denne retning dom af 7.12.2023, SCHUFA Holding m.fl. (Scoring) (C-634/21, EU:C:2023:957, præmis 70 og den deri nævnte retspraksis).