C-203/22
ECLI:EU:C:2024:745
- Súd
- Súdny dvor Európskej únie
- IČS
- 62022CC0203
- Zdroj
- eur-lex.europa.eu ↗
62022CC0203
NÁVRHY GENERÁLNEHO ADVOKÁTA
JEAN RICHARD DE LA TOUR
prednesené 12. septembra 2024 ( 1 )
Vec C‑203/22
CK
za účasti:
Dun & Bradstreet Austria GmbH,
Magistrat der Stadt Wien
[návrh na začatie prejudiciálneho konania, ktorý podal Verwaltungsgericht Wien (Správny súd Viedeň, Rakúsko)]
„Návrh na začatie prejudiciálneho konania – Ochrana osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 15 ods. 1 písm. h) – Článok 22 – Automatizované rozhodovanie vrátane profilovania – Posudzovanie bonity fyzickej osoby – Prístup k zmysluplným informáciám o postupe použitom pri automatizovanom rozhodovaní – Overenie správnosti poskytnutých informácií a ich súladu so sporným ratingovým rozhodnutím – Ochrana práv a slobôd iných – Smernica (EÚ) 2016/943 – Obchodné tajomstvo“
I. Úvod
1.
Návrh na začatie prejudiciálneho konania sa týka na jednej strane výkladu článku 15 ods. 1 písm. h), článku 15 ods. 4 a článku 22 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) ( 2 ) (ďalej len „GDPR“), a na druhej strane výkladu článku 2 prvého odseku smernice Európskeho parlamentu a Rady (EÚ) 2016/943 z 8. júna 2016 o ochrane nesprístupneného know‑how a obchodných informácií (obchodného tajomstva) pred ich neoprávneným získaním, využitím a sprístupnením. ( 3 )
2.
Tento návrh bol podaný v rámci sporu medzi CK a Magistrat der Stadt Wien (Magistrát mesta Viedeň, Rakúsko) vo veci návrhu na nútený výkon súdneho rozhodnutia, ktorým sa spoločnosti zaoberajúcej sa posudzovaním bonity ukladá povinnosť poskytnúť CK zmysluplné informácie o použitom postupe profilovania v súvislosti s jej osobnými údajmi.
3.
V nasledujúcich úvahách spresním, čo podľa môjho názoru treba rozumieť pod pojmom „zmysluplné informácie o použitom postupe“ pri automatizovanom rozhodovaní v zmysle článku 15 ods. 1 písm. h) GDPR, ako aj spôsob, akým sa musí dosiahnuť rovnováha medzi právom na prístup k takýmto informáciám na jednej strane a ochranou práv a slobôd iných, akým je obchodné tajomstvo, na strane druhej.
II. Skutkové okolnosti sporu vo veci samej a prejudiciálne otázky
4.
Mobilný operátor odmietol s CK uzavrieť alebo predĺžiť zmluvu o poskytovaní mobilných telefónnych služieb, ktorá by zahŕňala mesačnú platbu vo výške 10 eur, z dôvodu, že nemá dostatočnú finančnú bonitu. Údajne nedostatočná bonita CK bola odôvodnená posúdením jej úverového ratingu, ktoré Bisnode Austria GmbH (teraz Dun & Bradstreet Austria GmbH; ďalej len „D & B“), podnik špecializujúci sa na posudzovanie úverového ratingu, vykonal automatizovanými prostriedkami.
5.
CK podala rakúskemu úradu na ochranu údajov žiadosť o príslušné informácie o postupe použitom pri automatizovanom rozhodovaní D & B. Tento úrad žiadosti vyhovel.
6.
D & B napadla na Bundesverwaltungsgericht (Spolkový správny súd, Rakúsko) rozhodnutie rakúskeho úradu na ochranu údajov, podľa ktorého má sprístupniť informácie požadované zo strany CK.
7.
Rozhodnutím z 23. októbra 2019 tento súd čiastočne potvrdil rozhodnutie rakúskeho úradu na ochranu údajov. Konštatoval, že D & B porušila právo CK na prístup podľa článku 15 ods. 1 písm. h) GDPR tým, že neposkytla CK zmysluplné informácie o postupe použitom pri automatizovanom rozhodovaní o osobných údajoch CK, alebo prinajmenšom tým, že dostatočne neodôvodnila, prečo nemôže poskytnúť tieto informácie.
8.
Toto rozhodnutie Bundesverwaltungsgericht (Spolkový správny súd) nadobudlo právoplatnosť a je vykonateľné podľa rakúskeho práva.
9.
Návrh CK na nútený výkon tohto rozhodnutia však vykonávajúci orgán, mesto Viedeň, zamietol z dôvodu, že D & B si už dostatočne splnila svoju informačnú povinnosť.
10.
CK podala proti tomuto rozhodnutiu žalobu na Verwaltungsgericht Wien (Správny súd Viedeň, Rakúsko), ktorý podal návrh na začatie prejudiciálneho konania. Tento súd uvádza, že v rámci konania o žalobe je povinný prijať namiesto vykonávajúceho orgánu rozhodnutie o vykonaní rozhodnutia Bundesverwaltungsgericht (Spolkový správny súd). Vnútroštátny súd preto musí konkrétne určiť, aké informácie je D & B povinná poskytnúť CK. ( 4 )
11.
Z tohto hľadiska sa tento súd domnieva, že článok 15 ods. 1 písm. h) GDPR priznáva dotknutej osobe právo na prístup k presným informáciám. Uvedený súd v tejto súvislosti poukazuje na to, že existujú jasné indície o tom, že – málo početné – informácie, ktoré doteraz poskytla D & B, sú v rozpore so skutočnosťou. Hoci totiž informácie, ktoré boli poskytnuté CK, jej priznávajú mimoriadne vysokú úroveň ratingu, samotné profilovanie CK jej de facto odoprelo akúkoľvek bonitu, dokonca aj finančnú schopnosť platiť sumu 10 eur mesačne. Existuje teda jasný rozpor medzi informáciami poskytnutými CK o jej spracúvaných osobných údajoch a o postupe použitom pri hodnotení vykonanom automatizovanými prostriedkami na jednej strane a záverom, ktorý mobilný operátor vyvodil zo skutočne stanoveného ratingu, na druhej strane. Tento rozpor vedie k pochybnostiam o správnosti informácií, ktoré boli doteraz poskytnuté CK.
12.
Na základe tohto konštatovania vnútroštátny súd uvádza, že dotknutá osoba, ktorá je predmetom profilovania, si môže uplatniť právo na prístup k presným informáciám len vtedy, ak jej článok 15 ods. 1 písm. h) GDPR priznáva dostatočne široké právo na prístup, aby mohla overiť konzistentnosť a zrozumiteľnosť poskytnutého posúdenia a zistiť, či interný postup, ktorý jej bol oznámený v kontexte jej práva na prístup, bol skutočne použitý ako základ na vytvorenie jej profilu. Stručne povedané, dotknutá osoba by mala mať možnosť získať dostatočne podrobné informácie o spracúvaných osobných údajoch a o postupe použitom pri automatizovanom rozhodovaní, aby bola schopná tomuto rozhodovaniu porozumieť a overiť jeho presnosť.
13.
Podľa tohto súdu tento výklad článku 15 ods. 1 písm. h) GDPR môže zabezpečiť potrebný účinok tohto ustanovenia tým, že bráni prenosu chybných informácií prevádzkovateľom. Okrem toho by tento výklad umožnil dotknutej osobe vykonávať práva, ktoré jej priznáva článok 22 ods. 3 tohto nariadenia, a to najmä právo vyjadriť svoje stanovisko k automatizovanému individuálnemu rozhodnutiu a napadnúť jeho konzistentnosť a správnosť.
14.
Uvedený súd zdôrazňuje, že požiadavka, aby dotknutá osoba bola schopná overiť konzistentnosť a správnosť informácií poskytnutých podľa článku 15 ods. 1 písm. h) GDPR, má významné dôsledky, pokiaľ ide o to, v akom rozsahu a s akou mierou podrobnosti je prevádzkovateľ povinný zverejniť informácie podľa tohto ustanovenia.
15.
V konaní vo veci samej vnútroštátny súd vymenoval znalca, aby konkrétne určil, aké informácie je D & B povinná poskytnúť CK na základe rozhodnutia Bundesverwaltungsgericht (Spolkový správny súd).
16.
Podľa vymenovaného znalca s cieľom umožniť konkretizáciu, ktorá by mohla viesť k nútenému výkonu, zabezpečiť zrozumiteľnosť automatizovaného rozhodovania a overiť presnosť a konzistentnosť poskytnutých informácií, treba dotknutej osobe na základe práva na prístup, ktoré jej zaručuje článok 15 ods. 1 písm. h) GDPR, dostatočne podrobne poskytnúť minimálne tieto informácie:
–
po prvé spracúvané osobné údaje dotknutej osoby v rámci určovania faktorov, za akých podmienok, pričom treba uviesť, či boli tieto údaje vážené,
–
po druhé podstatné časti algoritmu, na ktorom je založené automatizované rozhodovanie, ktoré v každom prípade zahŕňajú: matematický vzorec, do ktorého možno dosadiť všetky informácie relevantné pre výpočet ratingu vo forme číselných hodnôt, aby sa pomocou vzorca dospelo k ratingu, a zrozumiteľné vysvetlenie všetkých hodnôt použitých v tomto vzorci, najmä tých, ktoré nie sú priamo odvodené z informácií uchovávaných o dotknutej osobe, a
–
po tretie relevantné informácie umožňujúce určiť súvislosť medzi spracúvanými informáciami a vykonaným hodnotením, ktoré zahŕňajú najmä uvedenie a primeraný opis funkcií určenia všetkých hodnôt použitých v tomto vzorci; predstavenie informácií potrebných na preukázanie súvislosti medzi informáciami a hodnotením v prípade intervalového hodnotenia, ako aj predstavenie použitých katastrálnych alebo indexových funkcií.
17.
Zo znaleckého posudku vyplýva, že iba oznámenie matematického vzorca a funkcií určenia všetkých hodnôt použitých v tomto vzorci by umožnilo CK pochopiť profilovanie, ktorému bola podrobená, takže len vďaka týmto informáciám by si mohla uplatniť práva, ktoré jej priznáva článok 22 ods. 3 GDPR, a to právo vyjadriť svoje stanovisko a právo napadnúť rozhodnutie založené na automatizovanom spracovaní.
18.
Podľa tohto posudku by D & B mala na účely overenia správnosti poskytnutých minimálnych informácií tiež vypracovať a predložiť pomerne úplným a podrobným spôsobom a ako porovnávací základ zoznam všetkých informácií o najmenej 25 prípadoch porovnateľného a neanonymizovaného profilovania, ku ktorým došlo v čase profilovania CK a ktoré boli vypracované na základe rovnakého pravidla výpočtu.
19.
Pokiaľ ide o posledný uvedený aspekt, vnútroštátny súd poukazuje na to, že zverejnenie takýchto informácií môže ovplyvniť práva na ochranu osobných údajov posudzované v prípadoch profilovania, ktoré slúžia ako porovnávací základ.
20.
Tento súd sa teda najmä vzhľadom na ustanovenia článku 9 smernice 2016/943 pýta, či by sa konflikt medzi rôznymi dotknutými záujmami mohol vyriešiť, ak by osobné údaje tretích osôb potrebné na overenie správnosti minimálnych poskytnutých informácií boli oznámené len príslušnému úradu alebo súdu, ktoré by potom nezávisle preskúmali, či tieto údaje tretích strán zodpovedajú skutočnosti.
21.
Vnútroštátny súd ďalej poukazuje na to, že podľa judikatúry Oberster Gerichtshof (Najvyšší súd, Rakúsko) a prevládajúcej právnej náuky je algoritmus použitý pri profilovaní obchodným tajomstvom v zmysle smernice 2016/943. Vnútroštátny súd v tejto súvislosti uvádza, že D & B sa odvolávala na existenciu obchodného tajomstva, ktoré si zasluhuje ochranu, pokiaľ ide o algoritmus, na ktorom je založené spracovanie, na odôvodnenie toho, že odmietla poskytnúť dostatočné informácie o postupe použitom pri automatizovanom rozhodovaní. Aj v tejto súvislosti sa uvedený súd pýta, či by sa konflikt medzi záujmami dotknutej osoby a záujmami prevádzkovateľa mohol vyriešiť, ak by informácie kvalifikované ako „obchodné tajomstvo“ v zmysle článku 2 prvého odseku smernice 2016/943 boli sprístupnené len príslušnému úradu alebo súdu, ktoré by nezávisle overili, či takúto kvalifikáciu možno akceptovať a či informácie poskytnuté prevádzkovateľom na základe článku 15 ods. 1 písm. h) GDPR zodpovedajú skutočnosti.
22.
Vnútroštátny súd však zdôrazňuje, že nevýhodou tohto spôsobu riešenia konfliktov medzi rôznymi dotknutými záujmami je, že dotknutej osobe sú odopreté podrobné informácie, čo obmedzuje alebo dokonca znemožňuje právo na prístup zaručené posledným uvedeným ustanovením. To by mohlo mať za následok, že táto osoba nemôže overiť, či sú informácie poskytnuté prevádzkovateľom zrozumiteľné a presné, a uplatniť práva, ktoré jej zaručuje článok 22 ods. 3 GDPR a článok 47 Charty základných práv Európskej únie. ( 5 )
23.
V rámci hľadania rovnováhy medzi záujmami osoby, ktorá sa domáha práva na prístup, a záujmami prevádzkovateľa tento súd tiež žiada, najmä s ohľadom na ustanovenia § 4 ods. 6 Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (spolkový zákon o ochrane fyzických osôb pri spracovaní osobných údajov) zo 17. augusta 1999 ( 6 ) v znení uplatniteľnom na konanie vo veci samej ( 7 ) (ďalej len „DSG“), o výklad článku 15 ods. 4 a článku 23 ods. 1 písm. i) GDPR v spojení s odôvodnením 63 tohto nariadenia.
24.
Za týchto podmienok sa Verwaltungsgericht Wien (Správny súd Viedeň) rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:
„1.
Aké obsahové požiadavky musia spĺňať informácie poskytnuté v rámci práva na prístup k údajom, aby sa posúdili ako dostatočne ‚zmysluplné‘ v zmysle článku 15 ods. 1 písm. h) [GDPR]?
Má prevádzkovateľ, pri dodržaní existujúceho obchodného tajomstva, v prípade profilovania v rámci poskytnutia informácií o ‚použitom postupe‘ v zásade sprístupniť aj informácie, ktoré sú podstatné pre umožnenie pochopenia výsledku automatizovaného rozhodnutia v jednotlivom prípade, medzi ktoré patrí najmä… sprístupnenie spracovaných údajov dotknutej osoby,… sprístupnenie častí algoritmu, ktorý je základom profilovania a ktorý je nevyhnutný pre umožnenie pochopenia, a… relevantné informácie o sprístupnení súvislostí medzi spracovanými informáciami a vykonaným posúdením?
Majú sa v prípadoch, ktorých predmetom je profilovanie, osobe oprávnenej na prístup k údajom v zmysle článku 15 ods. 1 písm. h) [GDPR] aj v prípade námietky obchodného tajomstva sprístupniť nižšie uvedené informácie o konkrétnom spracovaní, ktoré sa jej týkajú, aby sa umožnilo dodržanie jej práv podľa článku 22 ods. 3 [GDPR]:
a)
prenos všetkých prípadne presudoanonymizovaných informácií, najmä o spôsobe spracovania údajov dotknutej osoby, ktoré dovoľujú preskúmanie dodržiavania [GDPR];
b)
poskytnutie vstupných údajov, použitých na profilovanie;
c)
parametre a vstupné premenné, použité pri stanovení hodnotenia;
d)
vplyv týchto parametrov a vstupných premenných na vypočítané hodnotenie;
e)
informácie o vzniku parametrov, respektíve vstupných premenných;
f)
vysvetlenie, prečo bola osoba oprávnená na prístup k údajom v zmysle článku 15 ods. 1 písm. h) [GDPR] priradená k určitému výsledku, a objasnenie, aké tvrdenia boli spojené s týmto posúdením, [ako aj]
g)
výpočet kategórií profilov a vyhlásenie, aké hodnotiace tvrdenie je spojené s každou z kategórií profilov?
2.
Súvisí právo na prístup k údajom, ktoré je zaručené v článku 15 ods. 1 písm. h) [GDPR], s právami vyjadriť svoje stanovisko a napadnúť automatizované rozhodnutie v zmysle článku 22 [GDPR], ktoré sú garantované článkom 22 ods. 3 [GDPR], do tej miery, v akej je rozsah informácií, ktoré sa poskytli na základe žiadosti o prístup k údajom v zmysle článku 15 ods. 1 písm. h) [GDPR], dostatočne ‚zmysluplný‘ len vtedy, ak osobe, ktorá podala žiadosť o prístup k údajom, a dotknutej osobe v zmysle článku 15 ods. 1 písm. h) [GDPR] je umožnené, aby skutočne, dôkladne a presvedčivo využila práva, ktoré jej zaručuje článok 22 ods. 3 GDPR, vyjadriť svoje stanovisko a napadnúť automatizované rozhodnutie v zmysle článku 22 GDPR, ktoré sa jej týka?
3.
a)
Má sa článok 15 ods. 1 písm. h) [GDPR] vykladať v tom zmysle, že o ‚zmysluplné informácie‘ v zmysle tohto ustanovenia ide len vtedy, ak je táto informácia taká obsiahla, že osoba oprávnená na prístup k údajom v zmysle článku 15 ods. 1 písm. h) [GDPR] môže určiť, či táto poskytnutá informácia zodpovedá aj skutočnosti, teda či sprístupnené informácie aj naozaj sú základom automatizovaného rozhodnutia, v súvislosti s ktorým bola v tomto prípade podaná žiadosť?
b)
V prípade kladnej odpovede: Ako sa postupuje, ak sa správnosť informácie poskytnutej prevádzkovateľom dá overiť len tým, že sa osobe oprávnenej na prístup k údajom v zmysle článku 15 ods. 1 písm. h) [GDPR] oznámia aj údaje tretej osoby, ktoré sú tiež chránené [GDPR] (čierna skrinka)?
Môže sa táto kolízia medzi právom na prístup k údajom v zmysle článku 15 ods. 1 [GDPR] a právom na ochranu údajov tretích osôb vyriešiť aj tým, že údaje tretej osoby, ktoré sú nevyhnutné na overenie správnosti a ktoré sú podrobené rovnakému profilovaniu, sú sprístupnené výlučne úradu alebo súdu, takže úrad alebo súd sám posúdi, či sprístupnené údaje týchto tretích osôb zodpovedajú skutočnosti?
c)
V prípade kladnej odpovede: Aké práva sa majú určite priznať osobe oprávnenej na prístup k údajom v zmysle článku 15 ods. 1 písm. h) [GDPR] v prípade potreby zaručenia ochrany práv tretích osôb v zmysle článku 15 ods. 4 [GDPR] vytvorením čiernej skrinky spomenutej v otázke 3 písm. b)?
Majú sa osobe oprávnenej na poskytnutie informácií v zmysle článku 15 ods. 1 písm. h) [GDPR] v tomto prípade sprístupniť údaje iných osôb, ktoré boli sprístupnené na účely umožnenia overenia správnosti rozhodovania prevádzkovateľa v zmysle článku 15 ods. 1 [GDPR], v pseudoanonymizovanej podobe?
4.
a)
Ako sa má postupovať, ak informácie v zmysle článku 15 ods. 1 písm. h) [GDPR], ktoré sa majú poskytnúť, spĺňajú aj podmienky obchodného tajomstva v zmysle článku 2 bodu 1 smernice [2016/943]?
Môže sa kolízia medzi právom na prístup k údajom, ktoré je garantované článkom 15 ods. 1 písm. h) [GDPR], a právom nesprístupniť obchodné tajomstvo, ktoré je chránené smernicou [2016/943], vyriešiť tak, že informácie, ktoré sa klasifikujú ako obchodné tajomstvo v zmysle článku 2 bodu 1 smernice [2016/943], sa sprístupnia výlučne úradu alebo súdu, takže úrad alebo súd autonómne preskúma, či je potrebné vychádzať z existencie obchodného tajomstva v zmysle článku 2 bodu 1 smernice [2016/943], a či informácie poskytnuté prevádzkovateľom v zmysle článku 15 ods. 1 [GDPR] zodpovedajú skutočnosti?
b)
V prípade kladnej odpovede: Aké práva sa majú určite priznať osobe oprávnenej na poskytnutie informácií v zmysle článku 15 ods. 1 písm. h) [GDPR] v prípade potreby zaručenia ochrany práv tretích osôb v zmysle článku 15 ods. 4 [GDPR] vytvorením čiernej skrinky uvedenej v otázke 3 písm. b)?
Majú sa (aj) v tomto prípade rozdielu medzi informáciami, ktoré sa majú poskytnúť orgánu, respektíve súdu, a informáciami, ktoré sa majú poskytnúť osobe oprávnenej na prístup k údajom v zmysle článku 15 ods. 1 písm. h) [GDPR] v prípadoch, ktorých predmetom je profilovanie, osobe oprávnenej na poskytnutie informácií v zmysle článku 15 ods. 1 písm. h) [GDPR] poskytnúť nižšie uvedené dodatočné informácie o konkrétnom spracovaní, ktoré sa jej týka, aby sa jej v plnej miere umožnilo dodržiavanie jej práv podľa článku 22 ods. 3 [GDPR]:
i)
prenos všetkých aspoň preudoanonymizovaných informácií, najmä o spôsobe spracovania údajov dotknutej osoby, ktoré umožňujú preskúmanie dodržiavania [GDPR];
ii)
poskytnutie vstupných údajov použitých na profilovanie;
iii)
parametre a vstupné premenné použité pri stanovení hodnotenia;
iv)
vplyv týchto parametrov a vstupných premenných na vypočítané hodnotenie;
v)
informácie o vzniku parametrov, respektíve vstupných premenných;
vi)
vysvetlenie, prečo bola osoba oprávnená na prístup k údajom v zmysle článku 15 ods. 1 písm. h) GDPR priradená k určitému výsledku, a objasnenie, aké tvrdenia boli spojené s týmto posúdením, [ako aj]
vii)
výpočet kategórií profilov a vyhlásenie, aké hodnotiace tvrdenia sú spojené s každou z kategórií profilov?
5.
Je rozsah informácie, ktorá sa má poskytnúť podľa článku 15 ods. 1 písm. h) [GDPR], nejakým spôsobom obmedzený ustanovením článku 15 ods. 4 [GDPR]?
V prípade kladnej odpovede: Akým spôsobom je toto právo na prístup k údajom obmedzené článkom 15 ods. 4 [GDPR] a ako sa má v danom prípade tento rozsah obmedzenia zistiť?
6.
Je ustanovenie § 4 ods. 6 [DSG], podľa ktorého ‚právo dotknutej osoby na prístup k údajom podľa článku 15 [GDPR] voči prevádzkovateľovi bez ohľadu na iné zákonné obmedzenia neexistuje spravidla vtedy, ak by poskytnutím tejto informácie bolo ohrozené obchodné alebo podnikové tajomstvo prevádzkovateľa, respektíve tretej osoby‘, v súlade s ustanoveniami článku 15 ods. 1 v spojení s článkom 22 ods. 3 [GDPR]? V prípade kladnej odpovede, za akých pravidiel existuje takýto súlad?“
25.
Písomné pripomienky predložila CK, D & B, španielska, holandská a poľská vláda, ako aj Európska komisia.
III. Analýza
A.
Úvodné pripomienky
26.
Článok 22 ods. 1 GDPR stanovuje, že „dotknutá osoba má právo na to, aby sa na ňu nevzťahovalo rozhodnutie, ktoré je založené výlučne na automatizovanom spracúvaní, vrátane profilovania, a ktoré má právne účinky, ktoré sa jej týkajú alebo ju podobne významne ovplyvňujú“. ( 8 ) Takto stanovený zákaz sa však neuplatní v prípadoch uvedených v článku 22 ods. 2 tohto nariadenia, ku ktorým sa vrátim v nasledujúcich úvahách.
27.
V rozsudku zo 7. decembra 2023, SCHUFA Holding a i. (Scoring), ( 9 ) Súdny dvor rozhodol, že článok 22 ods. 1 GDPR sa má vykladať v tom zmysle, že keď spoločnosť poskytujúca ekonomické informácie vykoná automatizované určenie hodnoty pravdepodobnosti založenej na osobných údajoch osoby a týkajúcej sa schopnosti tejto osoby plniť si v budúcnosti platobné záväzky, ide o „automatizované individuálne rozhodnutie“ v zmysle tohto ustanovenia, ak od tejto hodnoty pravdepodobnosti v rozhodujúcej miere závisí skutočnosť, či tretia strana, ktorej bola táto hodnota pravdepodobnosti poskytnutá, založí, vykoná alebo ukončí zmluvný vzťah s touto osobou. ( 10 )
28.
V nadväznosti na tento rozsudok Súdny dvor požiadal vnútroštátny súd, aby uviedol, či trvá na svojom návrhu na začatie prejudiciálneho konania, na čo vnútroštátny súd odpovedal kladne. V podstate totiž konštatoval, že tento rozsudok neodpovedá na jeho otázky týkajúce sa najmä spôsobu, akým by mohol byť vyriešený rozpor medzi právami dotknutej osoby na ochranu jej osobných údajov a záujmami prevádzkovateľa, pokiaľ ide o ochranu obchodného tajomstva. Okrem toho uvedený rozsudok neodpovedá na otázku, do akej miery majú byť podrobné „zmysluplné informácie o použitom postupe“ pri automatizovanom rozhodovaní v zmysle článku 15 ods. 1 písm. h) GDPR.
29.
Prejednávaná vec tak povedie k tomu, že Súdny dvor doplní svoj rozsudok SCHUFA Holding a i. (Scoring), ( 11 ) pričom spresní rozsah práva na prístup zaručeného týmto ustanovením.
30.
Vnútroštátny súd totiž musí určiť rozsah a stupeň podrobnosti informácií, ktoré musí D & B poskytnúť, aby splnila požiadavky tohto ustanovenia.
31.
Z tohto hľadiska uvedený súd žiada Súdny dvor o pomoc v súvislosti s nasledujúcimi právnymi otázkami.
32.
Po prvé, čo treba rozumieť pod výrazom „zmysluplné informácie o použitom postupe“ pri automatizovanom rozhodovaní v zmysle článku 15 ods. 1 písm. h) GDPR? Zahŕňajú tieto informácie algoritmus použitý na účely týchto informácií? V akom rozsahu a v akej miere konkrétnosti je možné požadovať od prevádzkovateľa, aby poskytol dostatočné informácie, ktoré dotknutej osobe umožnia overiť správnosť týchto informácií a ich súlad s príslušným ratingovým rozhodnutím?
33.
Po druhé, do akej miery môže ochrana práv a slobôd iných osôb, najmä ochrana obchodného tajomstva, ovplyvniť povinnosť prevádzkovateľa poskytnúť „zmysluplné informácie o použitom postupe“ pri automatizovanom rozhodovaní v zmysle článku 15 ods. 1 písm. h) GDPR? Aké mechanizmy by sa prípadne mohli použiť na vyriešenie konfliktu medzi právami dotknutej osoby a záujmami prevádzkovateľa?
34.
Vo svojich návrhoch prednesených vo veci, v ktorej bol vydaný rozsudok SCHUFA Holding a i. (Scoring), ( 12 ) generálny advokát Pikamäe zaujal stanovisko k hlavným aspektom týchto otázok. Konštatoval tak, že článok 15 ods. 1 písm. h) nariadenia GDPR v spojení s odôvodnením 63 tohto nariadenia sa má vykladať v tom zmysle, že „sa v zásade vzťahuje aj na metódu výpočtu použitú spoločnosťou poskytujúcou ekonomické informácie na účely určenia skóre pod podmienkou, že neexistujú žiadne protichodné záujmy hodné ochrany“. ( 13 )
35.
Normotvorca Únie síce chcel zabezpečiť spravodlivú rovnováhu medzi protichodnými právami a záujmami, ale zároveň chcel zaručiť, aby „v každom prípade [boli poskytnuté] minimálne informácie, aby nebola ohrozená podstata práva na ochranu osobných údajov“. ( 14 ) Generálny advokát Pikamäe sa v dôsledku toho domnieva, že „hoci ochrana obchodného tajomstva alebo duševného vlastníctva predstavuje v zásade pre spoločnosť poskytujúcu ekonomické informácie oprávnený dôvod, aby odmietla prezradiť algoritmus použitý na výpočet skóre dotknutej osoby, nemôže nijako odôvodniť absolútne odmietnutie poskytnúť informácie“. ( 15 )
36.
Vzhľadom na článok 12 ods. 1 GDPR, podľa ktorého „prevádzkovateľ prijme vhodné opatrenia s cieľom poskytnúť dotknutej osobe všetky informácie… podľa článk[u] 15…, ktoré sa týkajú spracúvania, a to v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme, formulované jasne a jednoducho “, ( 16 ) ako aj na odôvodnenie 58 tohto nariadenia generálny advokát Pikamäe konštatoval, že „skutočným cieľom článku 15 ods. 1 písm. h) GDPR je zabezpečiť, aby dotknutá osoba získala informácie v zrozumiteľnej a dostupnej forme v súlade s jej potrebami“. ( 17 ) Podľa jeho názoru „už tieto požiadavky vylučujú prípadnú povinnosť prezradiť algoritmus vzhľadom na jeho zložitosť. Užitočnosť oznámenia zvlášť zložitého vzorca je totiž bez potrebných vysvetlení sporná.“ ( 18 )
37.
Vzhľadom na tieto skutočnosti teda generálny advokát Pikamäe dospel k tomuto záveru: „Povinnosť poskytnúť ‚zmysluplné informácie [o použitom postupe]‘ treba chápať v tom zmysle, že zahŕňa dostatočne podrobné vysvetlenia metódy použitej na výpočet skóre a dôvodov, ktoré viedli k určitému výsledku. Prevádzkovateľ musí vo všeobecnosti poskytnúť dotknutej osobe celkové informácie, ktoré sú pre ňu užitočné aj pri napadnutí každého ‚rozhodnutia‘ v zmysle článku 22 ods. 1 GDPR, najmä o faktoroch zohľadnených v rozhodovacom procese a o ich príslušnom význame na súhrnnej úrovni.“ ( 19 )
38.
V podstate súhlasím s výkladom, ktorý navrhuje generálny advokát Pikamäe, ako podrobnejšie vysvetlím nižšie. ( 20 )
B.
O prejudiciálnych otázkach
39.
Svojimi otázkami, ktoré navrhujem preskúmať spoločne, sa vnútroštátny súd Súdneho dvora v podstate pýta, či sa má na jednej strane článok 15 ods. 1 písm. h) GDPR vykladať v tom zmysle, že „zmysluplné informácie o použitom postupe“ pri automatizovanom rozhodovaní zahŕňajú informácie, ktoré sú dostatočne úplné na to, aby dotknutej osobe umožnili overiť presnosť týchto informácií a ich súlad s príslušným ratingovým rozhodnutím vrátane algoritmu použitého na účely tohto automatizovaného rozhodovania. Na druhej strane sa tento súd pýta, či a v akom rozsahu môže ochrana práv a slobôd iných osôb, akou je ochrana obchodného tajomstva, na ktoré sa odvoláva prevádzkovateľ, obmedziť rozsah práva na prístup, ktoré má dotknutá osoba na základe tohto ustanovenia.
1. O pojme „zmysluplné informácie o použitom postupe“ pri automatizovanom rozhodovaní
40.
Na úvod treba uviesť, že Súdny dvor nedávno zdôraznil viaceré znaky práva na prístup stanoveného v článku 15 GDPR, keď rozhodoval o rozsahu práva na získanie kópie spracúvaných osobných údajov, ktoré je stanovené v článku 15 ods. 3 prvej vete. Tieto skutočnosti sa mi zdajú byť užitočné na zodpovedanie otázok položených vnútroštátnym súdom.
41.
Článok 15 GDPR, nazvaný „Právo dotknutej osoby na prístup k údajom“, v odseku 1 vymedzuje predmet a rozsah práva na prístup priznaného dotknutej osobe a zakotvuje právo dotknutej osoby získať od prevádzkovateľa prístup k svojim osobným údajom a k informáciám uvedeným v písmenách a) až h) tohto odseku.
42.
Záruka takéhoto práva má za cieľ dosiahnuť ciele sledované GDPR, ktoré, ako sa uvádza v odôvodneniach 10 a 11 tohto nariadenia, spočívajú v zabezpečení konzistentnej a vysokej úrovne ochrany fyzických osôb v rámci Európskej únie, ako aj v posilnení a spresnení práv dotknutých osôb. ( 21 )
43.
Článok 15 ods. 1 písm. h) GDPR najmä stanovuje, že dotknutá osoba má právo na to, aby ju prevádzkovateľ informoval o existencii automatizovaného rozhodovania vrátane profilovania ( 22 ) uvedeného v článku 22 ods. 1 a 4 a v týchto prípadoch jej poskytol aspoň zmysluplné informácie o použitom postupe ( 23 ), ako aj o význame a predpokladaných dôsledkoch takéhoto spracúvania pre dotknutú osobu. ( 24 )
44.
Z judikatúry Súdneho dvora vo všeobecnosti vyplýva, že právo na prístup upravené v článku 15 GDPR musí dotknutej osobe umožniť uistiť sa, že osobné údaje, ktoré sa jej týkajú, sú správne a že sa spracúvajú zákonným spôsobom . ( 25 )
45.
Okrem toho kópia osobných údajov, ktoré sa spracúvajú a ktoré musí prevádzkovateľ poskytnúť podľa článku 15 ods. 3 prvej vety GDPR, musí mať všetky vlastnosti, ktoré dotknutej osobe umožnia účinne uplatniť jej práva podľa tohto nariadenia, a preto musí tieto údaje v plnom rozsahu a verne reprodukovať. ( 26 )
46.
Konkrétne je toto právo na prístup nevyhnutné na to, aby dotknutá osoba mohla prípadne vykonať svoje právo na opravu, právo na vymazanie („právo na zabudnutie“) a právo na obmedzenie spracúvania, ktoré jej priznávajú články 16, 17 a 18 GDPR, ako aj svoje právo namietať proti spracúvaniu svojich osobných údajov stanovené v článku 21 GDPR a právo na prostriedok nápravy v prípade spôsobenej ujmy stanovené v článkoch 79 a 82 GDPR. ( 27 )
47.
Pokiaľ ide o právo dotknutej osoby získať informácie uvedené v článku 15 ods. 1 písm. h), chcem ďalej uviesť, že toto právo na prístup jej musí umožniť vykonávať práva, ktoré jej priznáva článok 22 GDPR, ktorý sa týka konkrétne situácie, v ktorej sa na dotknutú osobu vzťahuje rozhodnutie založené na automatizovanom spracovaní.
48.
Ako som už uviedol, článok 22 ods. 1 tohto nariadenia stanovuje právo každej dotknutej osoby nepodliehať rozhodnutiu založenému výlučne na automatizovanom spracovaní vrátane profilovania, ktoré má právne účinky, ktoré sa jej týkajú alebo ju podobne významne ovplyvňujú. ( 28 ) Takto stanovený zákaz sa však neuplatňuje v prípadoch uvedených v článku 22 ods. 2 uvedeného nariadenia, konkrétne ak je toto rozhodnutie potrebné na uzavretie alebo plnenie zmluvy medzi dotknutou osobou a prevádzkovateľom [písm. a)], ak ho povoľuje právo Únie alebo právo členského štátu, ktorému prevádzkovateľ podlieha [písm. b)], alebo ak je založené na výslovnom súhlase dotknutej osoby [písm. c)].
49.
Okrem toho článok 22 GDPR vo svojom odseku 2 písm. b) a odseku 3 stanovuje, že musia byť upravené vhodné opatrenia na ochranu práv a slobôd a oprávnených záujmov dotknutej osoby. V prípadoch uvedených v článku 22 ods. 2 písm. a) a c) tohto nariadenia prevádzkovateľ vykoná aspoň právo dotknutej osoby na ľudský zásah zo strany prevádzkovateľa, právo vyjadriť svoje stanovisko a právo napadnúť rozhodnutie. ( 29 ) V kontexte prejednávanej veci vnútroštátny súd zdôrazňuje súvislosť medzi právom na prístup stanoveným v článku 15 ods. 1 písm. h) tohto nariadenia a týmito právami dotknutej osoby vyjadriť svoje stanovisko a napadnúť automatizované rozhodnutie.
50.
Podľa Súdneho dvora tieto prísnejšie požiadavky stanovené v GDPR, pokiaľ ide o zákonnosť automatizovaného rozhodovania, ako aj dodatočné informačné povinnosti prevádzkovateľa a súvisiace dodatočné práva na prístup dotknutej osoby, sa vysvetľujú účelom, ktorý sleduje článok 22 GDPR, ktorý spočíva v ochrane jednotlivcov pred osobitnými rizikami pre ich práva a slobody, ktoré predstavuje automatizované spracúvanie osobných údajov vrátane profilovania. ( 30 )
51.
Z toho vyplýva, že na účely určenia, čo sú „zmysluplné informácie o použitom postupe“ pri automatizovanom rozhodovaní v zmysle článku 15 ods. 1 písm. h) GDPR, je potrebné zohľadniť cieľ sledovaný článkom 22 tohto nariadenia, aby sa dotknutá osoba mohla na základe týchto informácií účinne dovolávať práv, ktoré jej priznáva tento článok.
52.
Z tohto hľadiska treba poukázať na to, že v súlade so zásadou transparentnosti, na ktorú odkazuje odôvodnenie 58 GDPR a ktorá je výslovne zakotvená v článku 12 ods. 1 tohto nariadenia, musia byť všetky informácie určené dotknutej osobe stručné, ľahko dostupné a zrozumiteľné a formulované jasne a jednoducho . ( 31 )
53.
Súdny dvor tak z tohto ustanovenia vyvodil, že prevádzkovateľ je povinný prijať vhodné opatrenia s cieľom poskytnúť dotknutej osobe všetky informácie uvedené okrem iného v článku 15 GDPR v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme, formulované jasne a jednoducho . Cieľom tohto ustanovenia, ktoré je vyjadrením zásady transparentnosti, je zaručiť, aby dotknutá osoba mohla plne porozumieť informáciám, ktoré sú jej zaslané . ( 32 )
54.
Z týchto skutočností podľa Súdneho dvora vyplýva, že kópia osobných údajov, ktoré sú predmetom spracúvania, ktorú musí prevádzkovateľ poskytnúť podľa článku 15 ods. 3 prvej vety GDPR, musí mať všetky vlastnosti, ktoré dotknutej osobe umožnia účinne uplatniť jej práva podľa tohto nariadenia, a preto musí tieto údaje v plnom rozsahu a verne reprodukovať . ( 33 )
55.
Súdny dvor tiež spresnil, že môže byť potrebné zasadiť spracúvané osobné údaje do kontextu , aby sa zabezpečila ich zrozumiteľnosť . Práve preto s cieľom zabezpečiť, aby informácie poskytnuté prevádzkovateľom boli ľahko pochopiteľné, ako požaduje článok 12 ods. 1 GDPR v spojení s jeho odôvodnením 58, sa totiž môže ukázať ako nevyhnutné poskytnutie reprodukcie výňatkov z dokumentov alebo dokonca celých dokumentov či výňatkov z databáz, ktoré okrem iného obsahujú spracúvané osobné údaje. ( 34 )
56.
Súdny dvor sa konkrétne domnieva, že ak sú osobné údaje generované z iných údajov alebo ak takéto údaje vyplývajú z voľných polí, teda z neexistencie údajov o dotknutej osobe, kontext, v ktorom sa tieto údaje spracúvajú , je nevyhnutným prvkom na to, aby sa dotknutej osobe umožnil transparentný prístup a zrozumiteľný prehľad týchto údajov . ( 35 )
57.
V dôsledku toho právo na získanie kópie osobných údajov, ktoré sú predmetom spracúvania, od prevádzkovateľa, znamená, že dotknutej osobe sa musí poskytnúť verná a zrozumiteľná rozmnoženina všetkých týchto údajov . Toto právo predpokladá právo na získanie kópie výňatkov z dokumentov, prípadne aj celých dokumentov, ktoré okrem iného obsahujú uvedené údaje, ak je poskytnutie takej kópie nevyhnutné na to, aby sa dotknutej osobe umožnilo účinne uplatniť práva, ktoré jej priznáva toto nariadenie. ( 36 )
58.
Judikatúra Súdneho dvora týkajúca sa požiadaviek, ktoré musí prevádzkovateľ spĺňať, keď podľa článku 15 ods. 3 prvej vety GDPR poskytuje kópiu osobných údajov, ktoré sú predmetom spracovania, podľa môjho názoru ponúka cenné indície na určenie vlastností, ktoré musia mať „zmysluplné informácie o použitom postupe“ pri automatizovanom rozhodovaní v zmysle článku 15 ods. 1 písm. h) tohto nariadenia.
59.
Je pravda, že z tejto judikatúry tiež vyplýva, že osobné údaje, ktorých kópiu musí prevádzkovateľ poskytnúť podľa článku 15 ods. 3 prvej vety tohto nariadenia, si nemožno zamieňať s informáciami, ku ktorým má dotknutá osoba právo na prístup podľa článku 15 ods. 1 písm. a) až h) toho istého nariadenia. ( 37 )
60.
Podľa môjho názoru však niet pochýb o tom, že požiadavka transparentnosti poskytovaných informácií, ktorá je stanovená v článku 12 ods. 1 GDPR a na ktorej je založená táto judikatúra, sa podľa samotného znenia tohto ustanovenia vzťahuje na všetky tieto údaje a informácie vrátane tých, ktoré súvisia s automatizovaným rozhodovaním.
61.
Dotknutej osobe sa preto musí v rámci automatizovaného rozhodovania, o aké ide vo veci samej, poskytnúť kópia jej spracúvaných osobných údajov, ktorá tieto údaje reprodukuje v plnom rozsahu a verne v súlade s ustanoveniami článku 15 ods. 3 prvej vety GDPR.
62.
Okrem toho sa zdá byť nevyhnutné, aby dotknutá osoba poznala kontext , v ktorom sú jej osobné údaje predmetom automatizovaného spracovania, aby mohla vykonávať práva, ktoré jej priznáva GDPR, vrátane práva vyjadriť svoje stanovisko k automatizovanému rozhodnutiu a napadnúť ho.
63.
To je napokon samotný účel článku 15 ods. 1 písm. h) GDPR, ktorý v podstate požaduje, aby bola dotknutá osoba informovaná o kontexte, v ktorom bolo prijaté automatizované rozhodnutie, najmä o postupe použitom pri prijatí tohto rozhodnutia.
64.
Znalosť tohto kontextu dotknutou osobou jej musí umožniť pochopiť výsledok dosiahnutý automatizovaným rozhodnutím prostredníctvom toho, že bude poznať podstatné prvky metódy a použitých kritérií. Stručne povedané, proces, ktorý je svojou povahou technický a ktorý viedol k tomuto rozhodnutiu, musí byť zrozumiteľný. Len tak bude môcť táto osoba vykonávať práva, ktoré jej priznáva GDPR, vrátane práva vyjadriť svoje stanovisko k automatizovanému rozhodnutiu a napadnúť ho. Pojem „zmysluplné informácie o použitom postupe“ pri automatizovanom rozhodovaní musí byť preto chápaný funkčným spôsobom. ( 38 )
65.
V tejto súvislosti skutočnosť, že normotvorca Únie kladie dôraz na potrebu zmysluplných informácií, priamo súvisí s technickou povahou predmetnej oblasti, ktorá si vyžaduje zabezpečiť, aby tieto informácie boli pre dotknutú osobu zrozumiteľné a mali pre ňu význam . Ide o nevyhnutnú podmienku na zabezpečenie zmysluplnosti týchto informácií, aby táto osoba mohla účinne vykonávať práva, ktoré jej zaručuje GDPR. V závislosti od jazykových znení článku 15 ods. 1 písm. h) GDPR sa kladie rôzny dôraz na „zrozumiteľnú“ alebo „významnú“ povahu informácií, pričom tento dvojaký význam je v anglickej verzii vyjadrený slovom „meaningful“. ( 39 ) Podľa môjho názoru je teda potrebné prijať výklad pojmu „zmysluplné informácie“ v zmysle posledného uvedeného ustanovenia, ktorý umožňuje v rámci funkčného prístupu zohľadniť tieto komplementárne významy.
66.
Zmysluplnosť informácií pre dotknutú osobu teda predpokladá – ako je to v prípade kópie spracúvaných osobných údajov, ktorá musí byť poskytnutá podľa článku 15 ods. 3 prvej vety GDPR –, že informácie musia byť poskytnuté v stručnej, ľahko dostupnej a zrozumiteľnej forme, formulované jasne a jednoducho . Dotknutá osoba, ktorej sú tieto informácie poskytnuté, musí byť teda schopná plne porozumieť informáciám, ktoré sú jej zaslané . Z tohto hľadiska môže byť potrebné zasadiť oznámené informácie do kontextu , aby sa zabezpečila ich zrozumiteľnosť .
67.
Stručne povedané, „zmysluplné informácie“, ktoré požaduje článok 15 ods. 1 písm. h) GDPR, musia byť nielen jasné a prístupné, ale musia byť sprevádzané aj vysvetleniami, aby sa zabezpečilo ich správne pochopenie. To platí o to viac, pokiaľ ide o poskytovanie informácií dotknutej osobe v technickej oblasti. V tomto zmysle toto ustanovenie poskytuje dotknutej osobe skutočné právo na vysvetlenie fungovania mechanizmu, ktorý je základom automatizovaného rozhodovania, ktoré sa týka tejto osoby, a výsledku, ku ktorému toto rozhodnutie viedlo. ( 40 ) V tejto súvislosti chcem poukázať na to, že v súlade s odôvodnením 71 GDPR by dotknutá osoba mala mať možnosť „dostať vysvetlenie rozhodnutia, ktoré bolo prijaté po takomto posúdení“.
68.
K týmto požiadavkám je potrebné doplniť, že dotknutá osoba musí byť schopná overiť správnosť osobných údajov, ktoré sa jej týkajú, a informácií týkajúcich sa postupu použitého pri automatizovanom rozhodovaní. Musí mať teda možnosť overiť existenciu objektívne overiteľného súladu a príčinnej súvislosti medzi použitou metódou a kritériami na jednej strane a výsledkom, ku ktorému sa dospelo automatizovaným rozhodnutím, na druhej strane. Inými slovami, poskytnuté informácie musia tejto osobe umožniť overiť, či naozaj zodpovedajú skutočnosti, a teda či je predmetné automatizované rozhodnutie skutočne založené na správnych informáciách. ( 41 )
69.
V tejto súvislosti pripomínam, že ako vyplýva z návrhu na začatie prejudiciálneho konania, informácie, ktoré D & B poskytla CK, podľa všetkého nezodpovedajú skutočnosti, keďže neodhaľujú skutočné profilovanie vykonané vo vzťahu k nej. Súdny dvor však už zdôraznil, že vzhľadom na osobitné riziká pre ich práva a slobody, ktoré predstavuje automatizované spracúvanie osobných údajov vrátane profilovania, je podľa odôvodnenia 71 GDPR dôležité stanoviť primerané záruky a zabezpečiť spravodlivé a transparentné zaobchádzanie s dotknutou osobou, najmä použitím primeraných matematických alebo štatistických postupov na účely profilovania a uplatňovaním vhodných technických a organizačných opatrení na zabezpečenie minimalizácie rizika chýb. ( 42 )
70.
Táto požiadavka správnosti je podľa môjho názoru posilnená, ak sa vychádza z toho, že ako rozhodol Súdny dvor vo svojom rozsudku zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu), ( 43 ) ktorý sa týka spracúvania osobných údajov v súvislosti s odpustením zostatku dlhu, také automatizované spracúvanie, aké je predmetom veci samej, predstavuje závažný zásah do základných práv dotknutej osoby zakotvených v článkoch 7 a 8 Charty. Osobné údaje dotknutej osoby sa totiž spracúvajú s cieľom posúdiť jej úverovú bonitu, a preto predstavujú citlivé informácie o jej súkromnom živote. Ich spracovanie môže výrazne poškodiť záujmy tejto osoby tým, že jej zabráni uzatvárať zmluvné vzťahy, ktoré môžu pokryť jej bežné potreby. ( 44 )
71.
Preto sa domnievam, že „zmysluplné informácie o použitom postupe“ pri automatizovanom rozhodovaní musia dotknutej osobe umožniť výkon práv, ktoré jej zaručuje GDPR a najmä článok 22 tohto nariadenia. Po prvé to predpokladá, že táto osoba získa informácie o metóde a kritériách použitých pri tomto rozhodnutí v stručnej, ľahko dostupnej a zrozumiteľnej forme, formulované jasne a jednoducho . Po druhé tieto informácie musia byť dostatočne úplné a zasadené do kontextu , aby tejto osobe umožnili overiť ich správnosť a existenciu objektívne overiteľného súladu a príčinnej súvislosti medzi použitou metódou a kritériami na jednej strane a výsledkom dosiahnutým automatizovaným rozhodnutím na strane druhej.
72.
Vzhľadom na tieto skutočnosti si nemyslím, že článok 15 ods. 1 písm. h) GDPR by sa mal vykladať v tom zmysle, že ukladá prevádzkovateľovi povinnosť sprístupniť dotknutej osobe informácie, ktoré sú vzhľadom na svoju technickú povahu také zložité, že ich nemôžu pochopiť osoby, ktoré nemajú osobitné technické znalosti. ( 45 ) To je podľa môjho názoru prípad algoritmov, ktoré sa používajú pri automatizovanom rozhodovaní.
73.
Je pravda, že v mene širokého výkladu povinnosti transparentnosti by sa dalo tvrdiť, že aby bolo možné kontrolovať spôsob, akým sú osobné údaje spracované algoritmom, je potrebné, aby bol tento algoritmus sprístupnený dotknutej osobe. ( 46 ) Domnievam sa však, že podstatou tejto povinnosti je umožniť tejto osobe porozumieť informáciám, ktoré jej boli oznámené, aby mohla uplatniť svoje práva podľa GDPR. Z tohto pohľadu budú vysvetlenia, ktoré sú prístupné bez toho, aby si vyžadovali špeciálne technické znalosti, určite „zmysluplnejšie“ ako zložitý matematický vzorec.
74.
V rovnakom duchu chcem poukázať na to, že ako vyplýva z usmernení, „môže byť ťažké pochopiť, ako funguje automatizované rozhodovanie alebo profilovanie“. Z tohto dôvodu „prevádzkovateľ by mal nájsť jednoduché spôsoby, ako informovať dotknutú osobu o dôvodoch rozhodnutia alebo o kritériách, na ktorých je založené. GDPR požaduje, aby prevádzkovateľ poskytol zmysluplné informácie o použitom postupe, ale nie nevyhnutne komplexné vysvetlenie použitých algoritmov alebo zverejnenie celého algoritmu … Poskytnuté informácie však musia byť dostatočne úplné, aby dotknutá osoba pochopila dôvody rozhodnutia.“ ( 47 )„Prevádzkovateľ by mal“ teda „dotknutej osobe poskytnúť všeobecné informácie (najmä o faktoroch zohľadnených v rozhodovacom procese a o ich príslušnom ‚význame‘ na súhrnnej úrovni), ktoré sú pre ňu zmysluplné aj pri napadnutí rozhodnutia.“ ( 48 )
75.
Ako však uviedla pracovná skupina pre ochranu údajov zriadená podľa článku 29 v usmerneniach, „zložitosť nemôže ospravedlniť neposkytnutie informácií dotknutej osobe“. ( 49 ) Z toho vyplýva, že prevádzkovateľ sa nemôže odvolávať na zložitosť informácií, aby si odmietol splniť povinnosť podľa článku 15 ods. 1 písm. h) GDPR. Prináleží mu poskytnúť informácie, ktoré sú prístupné a úplné, aby dotknutá osoba mohla pochopiť proces, ktorý viedol k automatizovanému rozhodnutiu prijatému vo vzťahu k nej.
76.
Z týchto skutočností vyvodzujem, že prevádzkovateľ nie je podľa článku 15 ods. 1 písm. h) GDPR povinný oznámiť dotknutej osobe informácie technickej povahy, ktorým dotknutá osoba nie je schopná porozumieť, akými sú podrobnosti o použitých algoritmoch. ( 50 ) Na druhej strane si tento prevádzkovateľ musí v každom prípade splniť povinnosť poskytnúť tejto osobe prístupné a dostatočne úplné informácie o procese, ktorý viedol k predmetnému automatizovanému rozhodnutiu, ako aj o dôvodoch, ktoré vysvetľujú výsledok, ku ktorému toto rozhodnutie viedlo. Takto definované „zmysluplné informácie o použitom postupe“ pri automatizovanom rozhodovaní by mali predovšetkým opisovať použitú metódu a zohľadnené kritériá, ako aj ich váhu. ( 51 ) Dotknutá osoba preto musí byť schopná pochopiť, aké informácie boli použité pri automatizovanom rozhodovaní a ako boli zohľadnené a vážené.
77.
Treba tiež spresniť, že toto ustanovenie podľa môjho názoru nebráni tomu, aby sa prevádzkovateľ dobrovoľne rozhodol oznámiť dotknutej osobe informácie technickej povahy, akými sú podrobnosti o použitých algoritmoch, za predpokladu, že toto oznámenie sprevádzajú informácie umožňujúce tejto osobe pochopiť proces, ktorý viedol k automatizovanému rozhodnutiu, a výsledok, ktorý ním bol dosiahnutý.
78.
Ďalej chcem uviesť, že článok 15 ods. 1 písm. h) GDPR by sa podľa môjho názoru nemal vykladať v tom zmysle, že ukladá prevádzkovateľovi povinnosť poskytnúť dotknutej osobe osobné údaje týkajúce sa tretích strán s výnimkou prípadu, keď by tým nepriamo porušil práva týchto tretích osôb. Na druhej strane príklady podobného spracovania poskytnuté anonymne na účely porovnania by mohli tejto osobe umožniť lepšie pochopiť automatizované rozhodnutie, ktoré sa jej týka.
79.
Vnútroštátnemu súdu prináleží, aby na základe vyššie uvedených skutočností určil, aké informácie majú byť sprístupnené dotknutej osobe v spore vo veci samej. V tejto súvislosti pochybujem, či Súdny dvor v úlohe orgánu poskytujúceho výklad práva Únie, ktorú mu priznáva článok 267 ZFEÚ a ktorú treba odlišovať od funkcie uplatňovania práva Únie, ktorá prináleží vnútroštátnemu súdu, môže zájsť pri konkrétnom určovaní týchto informácií tak ďaleko, ako by si želal.
80.
Okrem toho chcem uviesť, že výklad pojmu „zmysluplné informácie o použitom postupe“ pri automatizovanom rozhodovaní v zmysle článku 15 ods. 1 písm. h) GDPR, ktorý navrhujem Súdnemu dvoru, umožňuje vychádzať z toho, že normotvorca Únie už do značnej miery zabezpečil rovnováhu medzi požiadavkou transparentnosti, na ktorej je toto ustanovenie založené, na jednej strane a zachovaním práv a slobôd iných osôb, medzi ktoré patrí aj ochrana obchodného tajomstva, na druhej strane. Keďže totiž podľa môjho názoru by sa tento pojem nemal vzťahovať na informácie technickej povahy, akou je algoritmus, ktorým dotknutá osoba nie je schopná porozumieť bez osobitných odborných znalostí, právo na prístup zaručené týmto ustanovením by vo väčšine prípadov nemalo viesť k porušeniu obchodného tajomstva, na ktoré sa prevádzkovateľ môže oprávnene odvolávať. To isté platí pre ochranu osobných údajov tretích osôb, keďže tento pojem by sa v zásade nemal vzťahovať na takéto údaje.
81.
Nemožno však vylúčiť, že v určitých prípadoch môže právo na prístup zaručené článkom 15 ods. 1 písm. h) GDPR viesť k porušeniu práv a slobôd iných. Prevádzkovateľ sa môže na takéto porušenie odvolávať na odôvodnenie odmietnutia poskytnúť informácie dotknutej osobe. Okrem toho nie je vylúčené, že poskytnuté informácie nebudú dostatočné na to, aby bolo možné overiť ich správnosť a súlad s výsledkom predmetného automatizovaného rozhodnutia, a že poskytnutie dodatočných informácií na účely tohto overenia môže mať nepriaznivý vplyv na práva a slobody iných osôb. Je teda potrebné určiť, ako navrhuje vnútroštátny súd, akými mechanizmami možno následne zosúladiť predmetné práva a záujmy.
2. O zvážení práv dotknutej osoby a práv a slobôd iných osôb
82.
Pripomínam, že vnútroštátny súd sa v podstate pýta, či a v akom rozsahu je ochrana práv a slobôd iných, akou je ochrana obchodného tajomstva, na ktoré sa odvoláva prevádzkovateľ, spôsobilá obmedziť rozsah práva na prístup, ktoré má osoba podľa článku 15 ods. 1 písm. h) GDPR.
83.
V tejto súvislosti treba na úvod uviesť, že podľa odôvodnenia 4 GDPR právo na ochranu osobných údajov nie je absolútnym právom a musí byť vyvážené s ostatnými základnými právami v súlade so zásadou proporcionality. GDPR tak rešpektuje všetky základné práva a dodržiava slobody a zásady uznané v Charte, ako sú zakotvené v Zmluvách. ( 52 )
84.
Okrem toho sa v odôvodnení 63 tohto nariadenia uvádza, že právo každej dotknutej osoby na prístup k osobným údajom, ktoré o nej boli zhromaždené, „by sa nemalo nepriaznivo dotknúť práv alebo slobôd iných osôb, ani obchodného tajomstva alebo práv duševného vlastníctva a najmä autorských práv týkajúcich sa softvéru. Výsledkom zohľadnenia týchto prvkov by však nemalo byť odmietnutie poskytnutia akýchkoľvek informácií dotknutej osobe.“
85.
Článok 15 ods. 4 GDPR tak stanovuje, že „právo získať kópiu [spracúvaných osobných údajov] nesmie mať nepriaznivé dôsledky na práva a slobody iných“.
86.
Rovnako tak článok 23 ods. 1 písm. i) GDPR pripomína, že obmedzenie rozsahu povinností a práv stanovených najmä v článku 15 GDPR je možné, „ak takéto obmedzenie rešpektuje podstatu základných práv a slobôd a je nevyhnutným a primeraným opatrením v demokratickej spoločnosti s cieľom… zaistiť ochranu… práv a slobôd iných“. ( 53 )
87.
Súdny dvor z týchto ustanovení vyvodil, že právo priznané dotknutej osobe získať prvú bezplatnú kópiu jej osobných údajov, ktoré sa spracúvajú, nie je absolútne. ( 54 ) Predovšetkým v súlade s článkom 15 ods. 4 GDPR v spojení s jeho odôvodnením 63 právo na získanie kópie spracúvaných osobných údajov uvedené v odseku 3 tohto článku nesmie mať nepriaznivé dôsledky na práva a slobody iných vrátane obchodného tajomstva alebo práva duševného vlastníctva, najmä autorských práv týkajúcich sa softvéru. ( 55 )
88.
Z vyššie uvedeného vyplýva, že úvahy týkajúce sa najmä ochrany práv a slobôd iných osôb môžu odôvodniť obmedzenie práva na prístup k informáciám podľa článku 15 ods. 1 písm. h) GDPR, pokiaľ takéto obmedzenie rešpektuje podstatu tohto práva a predstavuje nevyhnutné a primerané opatrenie na zabezpečenie tejto ochrany, ako stanovuje článok 23 ods. 1 písm. i) GDPR. ( 56 )
89.
Úvahy týkajúce sa ochrany obchodného tajomstva v zmysle článku 2 prvého odseku bodu 1 smernice 2016/943 ( 57 ) však môžu byť spôsobilé odôvodniť obmedzenie práva na prístup podľa článku 15 ods. 1 písm. h) GDPR.
90.
Je pravda, že v odôvodnení 35 smernice 2016/943 je uvedené, že touto smernicou „by… nemali byť dotknuté práva a povinnosti stanovené v smernici [Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov ( 58 )] a najmä právo dotknutej osoby na prístup k jej osobným údajom, ktoré sa spracúvajú, právo na opravu, vymazanie alebo zablokovanie neúplných alebo nepresných údajov“. Zdá sa mi však, že ustanovenia GDPR, ktoré som citoval vyššie, svedčia v prípade rozporu medzi výkonom práva na prístup stanoveného v článku 15 ods. 1 písm. h) tohto nariadenia na jednej strane a právami alebo slobodami iných osôb na strane druhej v prospech možnosti hľadania rovnováhy medzi predmetnými právami a slobodami. ( 59 )
91.
Ako teda už Súdny dvor rozhodol, pokiaľ je to možné, mali by sa zvoliť také spôsoby oznamovania osobných údajov, ktoré nezasahujú do práv alebo slobôd iných , pričom treba zohľadniť skutočnosť, že výsledkom zohľadnenia takých úvah „by však nemalo byť odmietnutie poskytnutia akýchkoľvek informácií dotknutej osobe“, ako vyplýva z odôvodnenia 63 GDPR. ( 60 )
92.
Vnútroštátny súd sa v podstate pýta, aké formy by mohli mať takéto spôsoby oznamovania, ktoré rešpektujú práva a slobody iných, v osobitnom kontexte článku 15 ods. 1 písm. h) GDPR.
93.
V tejto súvislosti chcem poukázať na to, že Súdny dvor už rozhodol, že vnútroštátny súd môže usúdiť, že mu musia byť poskytnuté osobné údaje účastníkov konania alebo tretích osôb, aby mohol s úplnou znalosťou veci a pri dodržaní zásady proporcionality zvážiť dotknuté záujmy. Toto posúdenie môže prípadne viesť k povoleniu úplného alebo čiastočného sprístupnenia osobných údajov, ktoré mu boli takto poskytnuté, protistrane, ak sa domnieva, že takéto sprístupnenie nejde nad rámec toho, čo je nevyhnutné na zabezpečenie účinného využívania práv, ktoré osobám podliehajúcim súdnej právomoci vyplývajú z článku 47 Charty. ( 61 )
94.
Táto judikatúra sa podľa môjho názoru môže uplatniť na informácie uvedené v článku 15 ods. 1 písm. h) GDPR. Vzhľadom na túto judikatúru sa domnievam, že toto ustanovenie v spojení s odôvodnením 63 a článkom 23 ods. 1 písm. i) tohto nariadenia sa má vykladať v tom zmysle, že ak informácie, ktoré musia byť poskytnuté dotknutej osobe na základe práva na prístup zaručeného prvým z týchto ustanovení, môžu viesť k porušeniu práv a slobôd iných, najmä preto, že obsahujú osobné údaje tretích strán chránené GDPR alebo obchodné tajomstvo v zmysle článku 2 prvého odseku bodu 1 smernice 2016/943, musia byť oznámené príslušnému dozornému orgánu alebo súdu, aby tieto orgány mohli s plnou znalosťou veci a pri dodržaní zásady proporcionality a dôvernosti týchto informácií zvážiť dotknuté záujmy a určiť rozsah práva na prístup, ktoré sa má tejto osobe priznať.
95.
Podľa informácií, ktoré poskytol vnútroštátny súd v návrhu na začatie prejudiciálneho konania, § 4 ods. 6 DSG v zásade vylučuje právo dotknutej osoby na prístup stanovené v článku 15 GDPR, ak by takýto prístup ohrozil obchodné alebo podnikové tajomstvo prevádzkovateľa alebo tretej osoby. V tejto súvislosti sa domnievam, že takéto ustanovenie nemôže nahradiť zváženie, ktoré musí v každom jednotlivom prípade vykonať príslušný orgán alebo súd. Z judikatúry Súdneho dvora totiž podľa môjho názoru vyplýva, že ak sa musí vykonať zváženie protichodných práv a záujmov, členský štát nemôže s konečnou platnosťou stanoviť výsledok tohto zváženia ( 62 ) bez umožnenia odlišného výsledku vzhľadom na osobitné okolnosti konkrétneho prípadu. ( 63 )
IV. Návrh
96.
Vzhľadom na všetky predchádzajúce úvahy navrhujem, aby Súdny dvor odpovedal na prejudiciálne otázky, ktoré položil Verwaltungsgericht Wien (Správny súd Viedeň, Rakúsko), takto:
Článok 15 ods. 1 písm. h) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov), v spojení s odôvodnením 63 a článkom 23 ods. 1 písm. i) tohto nariadenia
sa má vykladať v tom zmysle, že
–
ak dotknutá osoba podlieha automatizovanému rozhodovaniu vrátane profilovania podľa článku 22 nariadenia 2016/679, „zmysluplné informácie o použitom postupe“ pri tomto automatickom rozhodovaní, ku ktorým má táto osoba právo na prístup, sa týkajú metódy a kritérií, ktoré prevádzkovateľ na tento účel použil,
–
tieto informácie musia dotknutej osobe umožniť výkon práv, ktoré jej zaručuje nariadenie 2016/679 a najmä jeho článok 22. Musia teda byť stručné, ľahko dostupné, zrozumiteľné, formulované jasne a jednoducho. Okrem toho musia byť dostatočne úplné a zasadené do kontextu, aby tejto osobe umožnili overiť ich správnosť a existenciu objektívne overiteľného súladu a príčinnej súvislosti medzi použitou metódou a kritériami na jednej strane a výsledkom dosiahnutým sporným automatizovaným rozhodnutím na strane druhej,
–
naopak, prevádzkovateľ nemá povinnosť sprístupniť dotknutej osobe informácie, ktoré sú vzhľadom na svoju technickú povahu také zložité, že ich nemôžu pochopiť osoby, ktoré nemajú osobitné technické znalosti, čo vylučuje sprístupnenie algoritmov, ktoré sa používajú pri automatizovanom rozhodovaní,
–
ak informácie, ktoré musia byť poskytnuté dotknutej osobe na základe práva na prístup zaručeného článkom 15 ods. 1 písm. h) nariadenia 2016/679, môžu viesť k porušeniu práv a slobôd iných, najmä preto, že obsahujú osobné údaje tretích strán chránené týmto nariadením alebo obchodné tajomstvo v zmysle článku 2 prvého odseku bodu 1 smernice Európskeho parlamentu a Rady (EÚ) 2016/943 z 8. júna 2016 o ochrane nesprístupneného know‑how a obchodných informácií (obchodného tajomstva) pred ich neoprávneným získaním, využitím a sprístupnením, musia byť oznámené príslušnému dozornému orgánu alebo súdu, aby tieto orgány mohli s plnou znalosťou veci a pri dodržaní zásady proporcionality a dôvernosti týchto informácií zvážiť dotknuté záujmy a určiť rozsah práva na prístup, ktoré sa má tejto osobe priznať.
( 1 ) Jazyk prednesu: francúzština.
( 2 ) Ú. v. EÚ L 119, 2016, s. 1 .
( 3 ) Ú. v. EÚ L 157, 2016, s. 1 .
( 4 ) Vnútroštátny súd v tejto súvislosti zdôrazňuje, že Bundesverwaltungsgericht (Spolkový správny súd) vo svojom rozhodnutí nespresnil rozsah spracúvaných osobných údajov, ktoré sa majú poskytnúť, a mieru podrobnosti použitého postupu, ktorá sa má oznámiť.
( 5 ) Ďalej len „Charta“.
( 6 ) BGBl. I, 165/1999.
( 7 ) BGBl. I, 14/2019. Toto ustanovenie v zásade vylučuje právo na prístup dotknutej osoby stanovené v článku 15 GDPR, ak by takýto prístup ohrozil obchodné alebo podnikové tajomstvo prevádzkovateľa alebo tretej strany.
( 8 ) Pozri v tejto súvislosti odôvodnenie 71 GDPR, ktoré stanovuje: „Dotknutá osoba by mala mať právo nepodliehať rozhodnutiu, ktoré môže zahŕňať opatrenie, hodnotiacemu osobné aspekty, ktoré sa jej týkajú, založenému výlučne na automatizovanom spracúvaní a ktoré má právne účinky, ktoré sa dotknutej osoby týkajú alebo ju podobným spôsobom významne ovplyvňujú, ako je napríklad automatické zamietnutie online žiadosti o úver alebo elektronické postupy prijímania pracovníkov bez akéhokoľvek ľudského zásahu. Takéto spracúvanie zahŕňa ‚profilovanie‘…, pokiaľ vedie k právnym účinkom, ktoré sa dotknutej osoby týkajú alebo ju podobným spôsobom významne ovplyvňujú.“
( 9 ) C‑634/21 , EU:C:2023:957 , ďalej len „rozsudok SCHUFA Holding a i. (Scoring)“.
( 10 ) Pozri rozsudok SCHUFA Holding a i. (Scoring) (bod 73).
( 11 ) V deň vydania tohto rozsudku Súdny dvor vydal aj rozsudok zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu) ( C‑26/22 a C‑64/22 , EU:C:2023:958 ), v ktorom poskytol výklad týchto článkov GDPR: článok 5 ods. 1 písm. a) v spojení s článkom 6 ods. 1 prvým pododsekom písm. f); článok 17 ods. 1 písm. c) a d), ako aj článok 78 ods. 1.
( 12 ) C‑634/21 , EU:C:2023:220 .
( 13 ) Pozri návrhy, ktoré predniesol generálny advokát Pikamäe vo veci SCHUFA Holding a i. (Scoring) ( C‑634/21 , EU:C:2023:220 , bod 54 ).
( 14 ) Pozri návrhy, ktoré predniesol generálny advokát Pikamäe vo veci SCHUFA Holding a i. (Scoring) ( C‑634/21 , EU:C:2023:220 , bod 56 ).
( 15 ) Pozri návrhy, ktoré predniesol generálny advokát Pikamäe vo veci SCHUFA Holding a i. (Scoring) ( C‑634/21 , EU:C:2023:220 , bod 56 ).
( 16 ) Kurzívou zvýraznil generálny advokát.
( 17 ) Pozri návrhy, ktoré predniesol generálny advokát Pikamäe vo veci SCHUFA Holding a i. (Scoring) ( C‑634/21 , EU:C:2023:220 , bod 57 ).
( 18 ) Pozri návrhy, ktoré predniesol generálny advokát Pikamäe vo veci SCHUFA Holding a i. (Scoring) ( C‑634/21 , EU:C:2023:220 , bod 57 ).
( 19 ) Pozri návrhy, ktoré predniesol generálny advokát Pikamäe vo veci SCHUFA Holding a i. (Scoring) ( C‑634/21 , EU:C:2023:220 , bod 58 ). V tejto súvislosti sa generálny advokát Pikamäe odvolával na „Usmernenia k automatizovanému individuálnemu rozhodovaniu a profilovaniu na účely nariadenia 2016/679“, prijaté 3. októbra 2017 pracovnou skupinou pre ochranu údajov zriadenou podľa článku 29 (ďalej len „usmernenia“), s. 28 a 30.
( 20 ) Treba poukázať aj na to, že pojem „zmysluplné informácie o použitom postupe“ pri automatizovanom rozhodovaní v zmysle článku 15 ods. 1 písm. h) GDPR je predmetom mnohých publikácií, ktoré umožňujú prostredníctvom rôznorodosti zastávaných postojov obohatiť úvahu o význame, ktorý by mal tento pojem mať. Spomedzi týchto publikácií by som spomenul tieto: GOODMAN, B., FLAXMAN, S.: European Union Regulations on Algorithmic Decision Making and a „Right to Explanation“. In: AI Magazine . Berlin: Wiley, 2017, roč. 38, č. 3, s. 50 až 57; WACHTER, S., MITTELSTADT, B., FLORIDI, L.: Why a Right to Explanation of Automated Decision‑Making Does Not Exist in the General Data Protection Regulation. In: International Data Privacy Law . Oxford: Oxford University Press, 2017, roč. 7, č. 2, s. 76 až 99; SELBST, A. D., POWLES, J.: Meaningful information and the right to explanation. In: International Data Privacy Law . Oxford: Oxford University Press, 2017, roč. 7, č. 4, s. 233 až 242; CABRAL, T. S.: AI and the Right to Explanation: Three Legal Bases under the GDPR. In: HALLINAN, D., LEENES, R., DE HERT, P.: Data Protection and Privacy: Data Protection and Artificial Intelligence . Oxford: Hart Publishing, 2021, s. 29 až 56; EDWARDS, L., VEALE, M.: Slave to the Algorithm? Why a „Right to an Explanation“ Is Probably Not the Remedy You Are Looking For. In: Duke Law & Technology Review . Durham: Duke Law School, 2017, roč. 16, s. 18 až 84; BRKAN, M.: Do algorithms rule the worlds? Algorithmic decision‑making and data protection in the framework of the GDPR and beyond. In: International Journal of Law and Information Technology . Oxford: Oxford University Press, 2019, roč. 27, č. 2, s. 91 až 121; KAMINSKI, M. E., MALGIERI, G.: Algorithmic impact assessments under the GDPR: producing multi‑layered explanations. In: International Data Privacy Law . Oxford: Oxford University Press, 2021, roč. 11, č. 2, s. 125 až 144; CUSTERS, B., HEIJNE, A.‑S.: The right of access in automated decision‑making: The scope of article 15(1)h) GDPR in theory and practice. In: Computer Law & Security Review . Amsterdam: Elsevier, 2022, roč. 46; NAUDTS, L., DEWITTE, P., AUSLOOS, J.: Meaningful transparency through data rights: A multidimensional analysis. In: Research Handbook on EU Data Protection La w. Cheltenham: Elgar, 2022, s. 530 až 571.
( 21 ) Pozri najmä rozsudok z 26. októbra 2023, FT (Kópie lekárskeho záznamu) ( C‑307/22 , EU:C:2023:811 , body 47 a 48 , ako aj citovaná judikatúra) [ďalej len „rozsudok FT (Kópie lekárskeho záznamu)“].
( 22 ) Podľa článku 4 bodu 4 GDPR „profilovanie“ je „akákoľvek forma automatizovaného spracúvania osobných údajov, ktoré pozostáva z použitia týchto osobných údajov na vyhodnotenie určitých osobných aspektov týkajúcich sa fyzickej osoby, predovšetkým analýzy alebo predvídania aspektov dotknutej fyzickej osoby súvisiacich s výkonnosťou v práci, majetkovými pomermi, zdravím, osobnými preferenciami, záujmami, spoľahlivosťou, správaním, polohou alebo pohybom“.
( 23 ) Tento pojem je uvedený aj v článku 13 ods. 2 písm. f) a v článku 14 ods. 2 písm. g) GDPR. Pozri tiež odôvodnenie 63 tohto nariadenia, ktoré stanovuje, že „každá dotknutá osoba by preto mala mať právo vedieť a byť informovaná… o postupe v každom automatickom spracúvaní osobných údajov a aspoň v prípadoch, v ktorých sa spracúvanie opiera o profilovanie, o následkoch takéhoto spracúvania“
( 24 ) Hoci sa tento návrh na začatie prejudiciálneho konania týka konkrétnejšie pojmu „zmysluplné informácie o použitom postupe“ v zmysle článku 15 ods. 1 písm. h) GDPR, netreba zabúdať na to, že dotknutá osoba musí byť informovaná aj o význame a predpokladaných dôsledkoch sporného spracúvania . Podľa pracovnej skupiny pre ochranu údajov zriadenej podľa článku 29 „táto formulácia naznačuje, že sa musia poskytnúť informácie o plánovanom alebo budúcom spracovaní a o tom, ako by automatizované rozhodovanie mohlo ovplyvniť dotknutú osobu… Aby boli tieto informácie zmysluplné a zrozumiteľné, mali by sa uviesť skutočné a hmatateľné príklady možných účinkov.“ Pozri usmernenia (s. 29).
( 25 ) Pozri najmä rozsudok zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF ( C‑487/21 , EU:C:2023:369 , bod 34 a citovaná judikatúra) (ďalej len „rozsudok Österreichische Datenschutzbehörde a CRIF“), ako aj rozsudok FT (Kópie lekárskeho záznamu) (bod 73 a citovaná judikatúra).
( 26 ) Pozri najmä rozsudok FT (Kópie lekárskeho záznamu) (bod 73 a citovaná judikatúra).
( 27 ) Pozri najmä rozsudok Österreichische Datenschutzbehörde a CRIF (bod 35 a citovaná judikatúra).
( 28 ) Ako uviedol Súdny dvor v rozsudku SCHUFA Holding a i. (Scoring) (bod 52), toto ustanovenie stanovuje zásadný zákaz, ktorého porušenie takáto osoba nemusí individuálne namietať.
( 29 ) Pozri rozsudok SCHUFA Holding a i. (Scoring) (bod 54).
( 30 ) Pozri rozsudok SCHUFA Holding a i. (Scoring) (bod 57). Súdny dvor totiž konštatoval, že ako vyplýva z odôvodnenia 71 GDPR, toto spracúvanie zahŕňa hodnotenie osobných aspektov týkajúcich sa fyzickej osoby, predovšetkým na účely analýzy alebo predvídania aspektov súvisiacich s výkonnosťou dotknutej osoby v práci, jej majetkovými pomermi, zdravím, osobnými preferenciami alebo záujmami, so spoľahlivosťou alebo správaním, polohou alebo pohybom (bod 58). Tieto osobitné riziká môžu podľa tohto odôvodnenia ovplyvniť oprávnené záujmy a práva dotknutej osoby, najmä vzhľadom na možné diskriminačné účinky na fyzické osoby (bod 59).
( 31 ) Pozri rozsudok Österreichische Datenschutzbehörde a CRIF (bod 37).
( 32 ) Pozri rozsudok Österreichische Datenschutzbehörde a CRIF (bod 38).
( 33 ) Pozri rozsudky Österreichische Datenschutzbehörde a CRIF (bod 39), ako aj FT (Kópie lekárskeho záznamu) (bod 73).
( 34 ) Pozri rozsudky Österreichische Datenschutzbehörde a CRIF (bod 41), ako aj FT (Kópie lekárskeho záznamu) (bod 74).
( 35 ) Pozri rozsudok Österreichische Datenschutzbehörde a CRIF (bod 42).
( 36 ) Pozri rozsudky Österreichische Datenschutzbehörde a CRIF (bod 45), ako aj FT (Kópie lekárskeho záznamu) (bod 75).
( 37 ) Pokiaľ ide o to, ako Súdny dvor vykladá pojem „informácie“ v zmysle článku 15 ods. 3 tretej vety GDPR, pozri rozsudok Österreichische Datenschutzbehörde a CRIF (body 46 až 53).
( 38 ) Pozri SELBST, A. D., POWELS, J., c. d., s. 236.
( 39 ) Pozri v tejto súvislosti MALGIERI, G., COMANDÉ, G.: Why a Right to Legibility of Automated Decision‑Making Exists in the General Data Protection Regulation. In: International Data Privacy Law . Oxford: Oxford University Press, 2017, roč. 7, č. 4, s. 243 až 265, najmä s. 257.
( 40 ) Pozri najmä CABRAL, T. S., c. d. Pokiaľ ide o analýzu toho, či existuje alebo neexistuje právo na vysvetlenie, pozri tiež BRKAN, M., c. d., s. 110 a nasl.
( 41 ) Pozri FOSS‑SOLBREKK, K., GLENSTER, A. K.: The intersection of data protection rights and trade secrets privileges in „algorithmic transparency“. In: Research Handbook on EU Data Protection Law , c. d., s. 163 až 183. Autori v rámci obáv, ktoré vyvoláva používanie algoritmov, poukazujú na „možnosť, že algoritmy… sú založené na nepresných údajoch, čo vedie k výsledkom, ktoré neodrážajú situáciu dotknutej osoby“ (s. 166) (voľný preklad).
( 42 ) Pozri rozsudok SCHUFA Holding a i. (Scoring) (bod 59).
( 43 ) C‑26/22 a C‑64/22 , EU:C:2023:958 .
( 44 ) Pozri rozsudok zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu) ( C‑26/22 a C‑64/22 , EU:C:2023:958 , bod 94 a citovaná judikatúra).
( 45 ) Pozri SELBST, A. D., POWLES, J., c. d., s. 236.
( 46 ) Pokiaľ ide o bohatú diskusiu, ktorú táto otázka vyvolala, pozri najmä FOSS‑SOLBREKK, K., GLENSTER, A. K., c. d., s. 167.
( 47 ) Pozri usmernenia (s. 28). Kurzívou zvýraznil generálny advokát.
( 48 ) Pozri usmernenia (s. 30).
( 49 ) Pozri usmernenia (s. 28). Ako uvádza táto pracovná skupina, z odôvodnenia 58 GDPR vyplýva, že „zásada transparentnosti sa týka ‚najmä situácií, ako je napríklad online reklama, v ktorých veľký počet účastníkov a technologická zložitosť činnosti sťažujú dotknutej osobe zistiť a pochopiť, či osobné údaje, ktoré sa jej týkajú, boli získané, kým a na aké účely‘“.
( 50 ) Pozri MALGIERI, G., COMANDÉ, G., c. d., ktorí poukazujú na to, že „algoritmy sú pre ľudí často nielen neznáme, ale aj nezrozumiteľné“ (voľný preklad) (s. 243).
( 51 ) Pozri POULLET, Y.: Le RGPD face aux défis de l’intelligence artificielle . Bruxelles: Larcier, 2021, ktorý poukazuje na to, že „pojem ‚zmysluplné informácie‘ sa vzťahuje na typy anonymných alebo nespracovaných údajov, ich zdroje, spôsob, akým algoritmus funguje, a, pravdepodobne a bez potreby uvádzať podrobnosti, váhy pripisované jednotlivým typom údajov v základnom algoritme“ (s. 115).
( 52 ) Pozri najmä rozsudok FT (Kópie lekárskeho záznamu) (bod 59 a citovaná judikatúra).
( 53 ) Pozri rozsudok FT (Kópie lekárskeho záznamu) (bod 61).
( 54 ) Pozri rozsudok FT (Kópie lekárskeho záznamu) (bod 62).
( 55 ) Pozri rozsudok Österreichische Datenschutzbehörde a CRIF (bod 43).
( 56 ) Pozri analogicky rozsudok FT (Kópie lekárskeho záznamu) (bod 63).
( 57 ) Podľa tohto ustanovenia „obchodné tajomstvo“ na účely tejto smernice sú „informácie, ktoré spĺňajú všetky tieto požiadavky: a) sú tajné v tom zmysle, že nie sú ako celok alebo pri presnom usporiadaní a spojení ich častí všeobecne známe alebo bežne prístupné osobám v kruhoch, ktoré sa dotknutým druhom informácií bežne zaoberajú; b) majú obchodnú hodnotu, pretože sú tajné; c) osoba, ktorá s týmito informáciami oprávnene nakladá, podnikla za daných okolností primerané kroky, aby ich udržala v tajnosti“.
( 58 ) Ú. v. ES L 281, 1995, s. 31 .
( 59 ) Pozri v tomto zmysle, pokiaľ ide o článok 15 ods. 4 GDPR, ktorý umožňuje obmedziť právo na získanie kópie osobných údajov podľa článku 15 ods. 3, rozsudok Österreichische Datenschutzbehörde a CRIF (bod 44).
( 60 ) Pozri rozsudok Österreichische Datenschutzbehörde a CRIF (bod 44).
( 61 ) Pozri rozsudok z 2. marca 2023, Norra Stockholm Bygg ( C‑268/21 , EU:C:2023:145 , bod 58 ).
( 62 ) Pozri najmä rozsudok SCHUFA Holding a i. (Scoring) (bod 70 a citovaná judikatúra).
( ) Pozri okrem iného rozsudok zo 17. júna 2021, M.I.C.M. ( C‑597/19 , EU:C:2021:492 , bod 111 a citovaná judikatúra).