C-203/22

62022CJ0203

ROZSUDOK

SÚDNEHO DVORA (prvá komora)

z 27. februára 2025 ( *1 )

„Návrh na začatie prejudiciálneho konania – Ochrana osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 15 ods. 1 písm. h) – Automatizované rozhodovanie vrátane profilovania – ‚Scoring‘ – Posudzovanie bonity fyzickej osoby – Prístup k zmysluplným informáciám o postupe použitom pri profilovaní – Overenie správnosti poskytnutých informácií – Smernica (EÚ) 2016/943 – Článok 2 bod 1 – Obchodné tajomstvo – Osobné údaje tretích osôb“

Vo veci C‑203/22,

ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím Verwaltungsgericht Wien (Správny súd Viedeň, Rakúsko) z 11. februára 2022 a doručený Súdnemu dvoru 16. marca 2022, ktorý súvisí s konaním:

v zložení: predseda Súdneho dvora K. Lenaerts, vykonávajúci funkciu predsedu prvej komory, podpredseda Súdneho dvora T. von Danwitz (spravodajca), sudcovia A. Kumin, N. Jääskinen a I. Ziemele,

generálny advokát: J. Richard de la Tour,

tajomník: A. Calot Escobar,

so zreteľom na písomnú časť konania,

so zreteľom na pripomienky, ktoré predložili:

–

holandská vláda, v zastúpení: K. Bulterman a C. S. Schillemans, splnomocnené zástupkyne,

–

poľská vláda, v zastúpení: B. Majczyna, splnomocnený zástupca,

–

Európska komisia, v zastúpení: A. Bouchagiar, F. Erlbacher a H. Kranenborg, splnomocnení zástupcovia,

po vypočutí návrhov generálneho advokáta 12. septembra 2024,

Právny rámec

Právo Únie

GDPR

3

Odôvodnenia 4, 11, 58, 63 a 71 GDPR stanovujú:

„(4)

Zásada transparentnosti si vyžaduje, aby všetky informácie určené verejnosti alebo dotknutej osobe boli stručné, ľahko prístupné a ľahko pochopiteľné, formulované jasne a jednoducho, a navyše ak je to vhodné, ľahko zrakovo vnímateľné. …

…

(63)

Dotknutá osoba by mala mať právo na prístup k osobným údajom, ktoré boli o nej získané, a uvedené právo aj jednoducho a v primeraných intervaloch uplatňovať, aby si bola vedomá zákonnosti spracúvania a mohla si ju overiť. … Uvedené právo by sa nemalo nepriaznivo dotknúť práv alebo slobôd iných osôb, ani obchodného tajomstva alebo práv duševného vlastníctva a najmä autorských práv týkajúcich sa softvéru. Výsledkom zohľadnenia týchto prvkov by však nemalo byť odmietnutie poskytnutia akýchkoľvek informácií dotknutej osobe. …

…

(71)

‚profilovanie‘ je akákoľvek forma automatizovaného spracúvania osobných údajov, ktoré pozostáva z použitia týchto osobných údajov na vyhodnotenie určitých osobných aspektov týkajúcich sa fyzickej osoby, predovšetkým analýzy alebo predvídania aspektov dotknutej fyzickej osoby súvisiacich s výkonnosťou v práci, majetkovými pomermi, zdravím, osobnými preferenciami, záujmami, spoľahlivosťou, správaním, polohou alebo pohybom.“

5

Článok 12 uvedeného nariadenia, nazvaný „Transparentnosť informácií, oznámenia a postupy výkonu práv dotknutej osoby“, v odseku 1 stanovuje:

„Prevádzkovateľ prijme vhodné opatrenia s cieľom poskytnúť dotknutej osobe všetky informácie uvedené v článkoch 13 a 14 a všetky oznámenia podľa článkov 15 až 22 a článku 34, ktoré sa týkajú spracúvania, a to v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme, formulované jasne a jednoducho, a to najmä v prípade informácií určených osobitne dieťaťu. …“

6

Článok 13 toho istého nariadenia, ktorý sa týka informácií, ktoré sa majú poskytovať pri získavaní osobných údajov od dotknutej osoby, a jeho článok 14, ktorý sa týka informácií, ktoré sa majú poskytnúť, ak osobné údaje neboli získané od dotknutej osoby, vo svojom odseku 2 písm. f) a odseku 2 písm. g) stanovujú, že prevádzkovateľ má poskytnúť dotknutej osobe najmä informácie, ktoré sú potrebné na zabezpečenie spravodlivého a transparentného spracúvania, o „existenci[i] automatizovaného rozhodovania vrátane profilovania uvedeného v článku 22 ods. 1 a 4 a aspoň v týchto prípadoch zmysluplné informácie o použitom postupe, ako aj význame a predpokladaných dôsledkoch takéhoto spracúvania pre dotknutú osobu“.

…

3. Prevádzkovateľ poskytne kópiu osobných údajov, ktoré sa spracúvajú. Za akékoľvek ďalšie kópie, o ktoré dotknutá osoba požiada, môže prevádzkovateľ účtovať primeraný poplatok zodpovedajúci administratívnym nákladom. Ak dotknutá osoba podala žiadosť elektronickými prostriedkami, informácie sa poskytnú v bežne používanej elektronickej podobe, pokiaľ dotknutá osoba nepožiadala o iný spôsob.

4. Právo získať kópiu uvedenú v odseku 3 nesmie mať nepriaznivé dôsledky na práva a slobody iných.“

8

Článok 22 tohto nariadenia, nazvaný „Automatizované individuálne rozhodovanie vrátane profilovania“, stanovuje:

„1. Dotknutá osoba má právo na to, aby sa na ňu nevzťahovalo rozhodnutie, ktoré je založené výlučne na automatizovanom spracúvaní, vrátane profilovania, a ktoré má právne účinky, ktoré sa jej týkajú alebo ju podobne významne ovplyvňujú.

založené na výslovnom súhlase dotknutej osoby.

3. V prípadoch uvedených v odseku 2 písm. a) a c) prevádzkovateľ vykoná vhodné opatrenia na ochranu práv a slobôd a oprávnených záujmov dotknutej osoby, a to aspoň práva na ľudský zásah zo strany prevádzkovateľa, práva vyjadriť svoje stanovisko a práva napadnúť rozhodnutie.

4. Rozhodnutia uvedené v odseku 2 sa nezakladajú na osobitných kategóriách osobných údajov uvedených v článku 9 ods. 1, pokiaľ sa neuplatňuje článok 9 ods. 2 písm. a) alebo g) a nie sú zavedené vhodné opatrenia na zaručenie práv a slobôd a oprávnených záujmov dotknutej osoby.“

9

Podľa článku 23 uvedeného nariadenia, nazvaného „Obmedzenia“:

„1. V práve Únie alebo práve členského štátu, ktorému prevádzkovateľ alebo sprostredkovateľ podliehajú, sa prostredníctvom legislatívneho opatrenia môže obmedziť rozsah povinností a práv ustanovených v článkoch 12 až 22 a v článku 34, ako aj v článku 5, pokiaľ jeho ustanovenia zodpovedajú právam a povinnostiam ustanoveným v článkoch 12 až 22, ak takéto obmedzenie rešpektuje podstatu základných práv a slobôd a je nevyhnutným a primeraným opatrením v demokratickej spoločnosti s cieľom zaistiť:

b)

kategórie osobných údajov;

c)

rozsah zavedených obmedzení;

d)

záruky zabraňujúce zneužitiu údajov alebo nezákonnému prístupu či prenosu;

h)

práva dotknutých osôb na informovanie o obmedzení, pokiaľ tým nie je ohrozený účel obmedzenia.“

10

Článok 54 GDPR toho istého nariadenia, nazvaný „Pravidlá zriadenia dozorného orgánu“, v odseku 2 stanovuje:

„Člen alebo členovia a personál každého dozorného orgánu podliehajú v súlade s právom Únie alebo právom členského štátu povinnosti zachovávať profesijné tajomstvo, pokiaľ ide o dôverné informácie, o ktorých sa dozvedeli pri plnení svojich úloh alebo pri výkone svojich právomocí, a to tak počas ich funkčného obdobia, ako aj po ňom. Počas ich funkčného obdobia sa táto povinnosť zachovávať profesijné tajomstvo vzťahuje najmä na ohlasovanie porušení tohto nariadenia fyzickými osobami.“

11

Odôvodnenie

35 smernice 2016/943 uvádza:

„Touto smernicou by… nemali byť dotknuté práva a povinnosti stanovené v [smernici Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov ( Ú. v. ES 1995, L 281, s. 31 ; Mim. vyd. 13/015, s. 355)], a najmä právo dotknutej osoby na prístup k jej osobným údajom, ktoré sa spracúvajú, právo na opravu, vymazanie alebo zablokovanie neúplných alebo nepresných údajov…“

13

Článok 2 bod 1 tejto smernice stanovuje:

„Na účely tejto smernice sa uplatňujú tieto vymedzenia pojmov:

1.

osoba, ktorá s týmito informáciami oprávnene nakladá, podnikla za daných okolností primerané kroky, aby ich udržala v tajnosti.“

14

Článok 9 uvedenej smernice 2016/943, nazvaný „Zachovanie dôvernosti obchodného tajomstva v priebehu súdneho konania“, stanovuje:

„1. Členské štáty zabezpečia, aby stranám konania, ich advokátom alebo iným zástupcom, súdnym úradníkom, svedkom, znalcom a všetkým ostatným osobám, ktoré sa zúčastňujú na súdnom konaní vo veci neoprávneného získania, využitia alebo sprístupnenia obchodného tajomstva alebo ktoré majú prístup k dokumentom, ktoré sú súčasťou uvedeného súdneho konania, nebolo povolené využiť ani sprístupniť žiadne obchodné tajomstvo alebo údajné obchodné tajomstvo, ktoré príslušné súdne orgány na základe riadne odôvodneného návrhu zainteresovanej strany klasifikovali ako dôverné a o ktorom sa dozvedeli v dôsledku účasti na tomto konaní alebo prístupu k týmto dokumentom. V uvedenom ohľade môžu členské štáty umožniť aj príslušným súdnym orgánom prijímanie takýchto opatrení z vlastnej iniciatívy.

Povinnosť uložená v zmysle prvého pododseku trvá aj po skončení súdneho konania. Takáto povinnosť však zaniká v ktoromkoľvek z týchto prípadov:

a)

úplne alebo čiastočne obmedziť prístup k akémukoľvek dokumentu obsahujúcemu obchodné tajomstvo alebo údajné obchodné tajomstvo, ktorý predložili strany konania alebo tretie strany, na obmedzený počet osôb;

b)

obmedziť účasť na pojednávaní, na ktorých môže byť sprístupnené obchodné tajomstvo alebo údajné obchodné tajomstvo, a k príslušným záznamom z týchto vypočutí alebo k ich prepisom na obmedzený počet osôb;

c)

sprístupniť akejkoľvek osobe inej, ako sú osoby, ktoré patria do obmedzeného počtu osôb uvedeného v písmenách a) a b), verziu akéhokoľvek súdneho rozhodnutia, ktorá nemá dôverný charakter a v ktorej boli časti obsahujúce obchodné tajomstvo vypustené alebo inak upravené.

Počet osôb uvedený v písmenách a) a b) druhého pododseku nie je väčší, než je nevyhnutné na zabezpečenie súladu s právom strán konania na účinný prostriedok nápravy a na spravodlivý proces, a zahŕňa minimálne jednu fyzickú osobu za každú stranu a príslušných advokátov alebo iných zástupcov týchto strán konania.

16

Mobilný operátor odmietol s CK uzavrieť alebo predĺžiť zmluvu o poskytovaní mobilných telefónnych služieb, ktorá by zahŕňala mesačnú platbu sumy desiatich eur z dôvodu, že podľa automatizovaného posúdenia jej úverového ratingu, ktoré vykonala D & B, nemá dostatočnú finančnú bonitu.

17

CK sa obrátila na rakúsky orgán pre ochranu údajov, ktorý nariadil spoločnosti D & B, aby poskytla CK zmysluplné informácie o použitom postupe pri automatizovanom rozhodovaní založenom na osobných údajoch týkajúcich sa CK.

18

D & B podala proti rozhodnutiu tohto orgánu opravný prostriedok na Bundesverwaltungsgericht (Spolkový správny súd, Rakúsko), pričom v podstate tvrdila, že z dôvodu chráneného obchodného tajomstva nemusela poskytnúť CK informácie nad rámec tých, ktoré jej už boli poskytnuté.

22

CK podala proti rozhodnutiu Magistrátu mesta Viedeň žalobu na Verwaltungsgericht Wien (Správny súd Viedeň, Rakúsko), vnútroštátny súd, ktorý podal návrh na začatie prejudiciálneho konania, na účely núteného výkonu rozhodnutia z 23. októbra 2019.

23

Vnútroštátny súd sa domnieva, že podľa rakúskeho práva je povinný vykonať toto posledné uvedené rozhodnutie, čo zahŕňa určenie konkrétnych úkonov, ktoré je D & B na základe tohto rozhodnutia povinná uskutočniť.

24

Keďže vnútroštátny súd zastával názor, že toto určenie môže vykonať len znalec s požadovanými odbornými znalosťami, ustanovil znalca, ktorý konštatoval, že D & B je na účely splnenia svojich povinností voči CK povinná poskytnúť tieto minimálne informácie:

–

presnosť intervalov, v rámci ktorých sa rovnaká hodnota priraďuje rôznym údajom pre ten istý faktor (intervalové, diskrétne alebo indexové/katastrálne hodnotenie).

25

S cieľom zabezpečiť, aby CK mohla overiť presnosť týchto minimálnych informácií po ich poskytnutí, by D & B mala poskytnúť aj zoznam, na ktorom by boli uvedené „scores“ osôb („scoring“) za obdobie šiestich mesiacov pred a šiestich mesiacov po stanovení „score“ CK, a ktoré boli získané na základe rovnakého pravidla výpočtu.

26

Podľa vnútroštátneho súdu iba poskytnutie minimálnych informácií identifikovaných uvedeným odborníkom umožňuje overiť konzistentnosť a správnosť informácií poskytnutých prevádzkovateľom podľa článku 15 ods. 1 písm. h) GDPR.

30

Vzniká tiež otázka, či a prípadne v akom rozsahu môže výnimka založená na existencii obchodného tajomstva obmedziť toto právo na prístup k údajom, ktoré zaručujú ustanovenia článku 15 ods. 1 písm. h) v spojení s článkom 22 GDPR.

31

Vzhľadom na pravidlá stanovené v článku 9 smernice 2016/943 treba posúdiť, či je možné oznámiť informácie kvalifikované ako „obchodné tajomstvo“ v zmysle článku 2 bodu 1 tejto smernice len konajúcemu orgánu alebo súdu, aby tento orgán alebo súd samostatne overil, či treba dospieť k záveru, že skutočne existuje takéto obchodné tajomstvo, a či tieto informácie poskytnuté prevádzkovateľom v zmysle článku 15 ods. 1 GDPR zodpovedajú dotknutým skutkovým okolnostiam.

32

Napokon treba preskúmať, či také ustanovenie, akým je § 4 ods. 6 DSG, ktoré v zásade vylučuje právo dotknutej osoby na prístup k údajom stanovené v článku 15 GDPR, ak by tento prístup ohrozil obchodné alebo podnikové tajomstvo prevádzkovateľa alebo tretej osoby, možno považovať za ustanovenie, ktoré je v súlade s ustanoveniami článku 15 ods. 1 v spojení s článkom 22 ods. 3 GDPR.

a)

prenos všetkých, prípadne [pseudoanonymizovaných] informácií, najmä o spôsobe spracovania údajov dotknutej osoby, ktoré umožňujú preskúmanie dodržiavania GDPR;

b)

poskytnutie vstupných údajov použitých na profilovanie;

c)

parametre a vstupné premenné použité pri stanovení hodnotenia;

g)

výpočet kategórií profilov a vyhlásenie, aké hodnotiace tvrdenia sú spojené s každou z kategórií profilov?

2.

Súvisí právo na prístup k údajom, ktoré je zaručené v článku 15 ods. 1 písm. h) GDPR, s právami vyjadriť svoje stanovisko a napadnúť automatizované rozhodnutie v zmysle článku 22 GDPR, ktoré sú garantované článkom 22 ods. 3 GDPR, do tej miery, v akej je rozsah informácií, ktoré sa poskytli na základe žiadosti o prístup k údajom v zmysle článku 15 ods. 1 písm. h) GDPR, dostatočne ‚zmysluplný‘ len vtedy, ak osobe, ktorá podala žiadosť o prístup k údajom, a dotknutej osobe v zmysle článku 15 ods. 1 písm. h) GDPR je umožnené, aby skutočne, dôkladne a presvedčivo využila práva, ktoré jej zaručuje článok 22 ods. 3 GDPR, vyjadriť svoje stanovisko a napadnúť automatizované rozhodnutie v zmysle článku 22 GDPR, ktoré sa jej týka?

3.

a) Má sa článok 15 ods. 1 písm. h) GDPR vykladať v tom zmysle, že o ‚zmysluplné informácie‘ v zmysle tohto ustanovenia ide len vtedy, ak je táto informácia taká obsiahla, že osoba oprávnená na prístup k údajom v zmysle článku 15 ods. 1 písm. h) GDPR môže určiť, či táto poskytnutá informácia zodpovedá aj skutočnosti, teda či sprístupnené informácie aj naozaj sú základom automatizovaného rozhodnutia, v súvislosti s ktorým bola v tomto prípade podaná žiadosť?

Môže sa kolízia medzi právom na prístup k údajom, ktoré je garantované článkom 15 ods. 1 písm. h) GDPR, a právom nesprístupniť obchodné tajomstvo, ktoré je chránené smernicou 2016/943, vyriešiť tak, že informácie, ktoré sa klasifikujú ako obchodné tajomstvo v zmysle článku 2 bodu 1 smernice 2016/943, sa sprístupnia výlučne úradu alebo súdu, takže úrad alebo súd autonómne preskúma, či je potrebné vychádzať z existencie obchodného tajomstva v zmysle článku 2 bodu 1 smernice 2016/943, a či informácie poskytnuté prevádzkovateľom v zmysle článku 15 ods. 1 GDPR zodpovedajú skutočnosti?

b) V prípade kladnej odpovede: Aké práva sa majú určite priznať osobe oprávnenej na prístup k údajom v zmysle článku 15 ods. 1 písm. h) GDPR v prípade potreby zaručenia ochrany práv tretích osôb v zmysle článku 15 ods. 4 GDPR vytvorením čiernej skrinky spomenutej v otázke 3 písm. b)?

Majú sa (aj) v tomto prípade rozdielu medzi informáciami, ktoré sa majú poskytnúť orgánu, respektíve súdu, a informáciami, ktoré sa majú poskytnúť osobe oprávnenej na prístup k údajom v zmysle článku 15 ods. 1 písm. h) GDPR v prípadoch, ktorých predmetom je profilovanie, osobe oprávnenej na prístup k údajom v zmysle článku 15 ods. 1 písm. h) GDPR poskytnúť nižšie uvedené dodatočné informácie o konkrétnom spracovaní, ktoré sa jej týka, aby sa jej v plnej miere umožnilo dodržiavanie jej práv podľa článku 22 ods. 3 GDPR:

–

prenos všetkých, prípadne [pseudoanonymizovaných] informácií, najmä o spôsobe spracovania údajov dotknutej osoby, ktoré umožňujú preskúmanie dodržiavania GDPR,

–

informácie o vzniku parametrov, respektíve vstupných premenných,

–

vysvetlenie, prečo bola osoba oprávnená na prístup k údajom v zmysle článku 15 ods. 1 písm. h) GDPR priradená k určitému výsledku, a objasnenie, aké tvrdenia boli spojené s týmto posúdením,

–

výpočet kategórií profilov a vyhlásenie, aké hodnotiace tvrdenia sú spojené s každou z kategórií profilov?

5.

Rozhodnutím z 8. decembra 2022 predseda Súdneho dvora prerušil toto konanie do vydania rozhodnutia, ktorým sa ukončí konanie vo veci C‑634/21, SCHUFA Holding a i. (Scoring).

35

V súlade s rozhodnutím predsedu Súdneho dvora z 13. decembra 2023 zaslala kancelária Súdneho dvora vnútroštátnemu súdu rozsudok zo 7. decembra 2023, SCHUFA Holding a i. (Scoring) ( C‑634/21 , EU:C:2023:957 ), a vyzvala ho, aby jej oznámil, či s prihliadnutím na tento rozsudok trvá na svojom návrhu na začatie prejudiciálneho konania.

36

Listom doručeným kancelárii Súdneho dvora 29. januára 2024 tento súd uviedol, že na svojom návrhu na začatie prejudiciálneho konania trvá, pretože rozsudok zo 7. decembra 2023, SCHUFA Holding a i. (Scoring) ( C‑634/21 , EU:C:2023:957 ), neumožňuje zodpovedať otázky, ktoré položil v prejednávanej veci.

37

Na úvod treba pripomenúť, že v súlade s ustálenou judikatúrou Súdneho dvora je na účely výkladu ustanovenia práva Únie potrebné zohľadniť nielen jeho znenie, ale aj jeho kontext a ciele sledované právnou úpravou, ktorej je súčasťou (rozsudok zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21 , EU:C:2023:369 , bod 19 , ako aj citovaná judikatúra).

40

Pokiaľ ide v prvom rade o znenie článku 15 ods. 1 písm. h) GDPR, treba na jednej strane uviesť, že významy pojmu „zmysluplné informácie“ v zmysle tohto ustanovenia sa v jeho rôznych jazykových zneniach líšia, pričom niektoré z nich, podobne ako francúzske jazykové znenie, uprednostňujú funkčnosť („nuttige“ v holandskom jazyku, „úteis“ v portugalskom jazyku) alebo relevantnosť („pertinente“ v rumunskom jazyku) informácií, ktoré sa majú poskytnúť, zatiaľ čo iné zdôrazňujú ich význam („significativa“ v španielskom jazyku a „istotne“ v poľskom jazyku). Napokon tak v nemeckom, ako aj anglickom jazykovom znení uvedeného ustanovenia možno použitý výraz („aussagekräftig“ a „meaningful“) chápať ako odkaz na dobrú zrozumiteľnosť uvedených informácií, tak aj ako odkaz na ich určitú kvalitu.

41

Rozdielnosť významov použitých v rôznych jazykových zneniach pritom treba chápať v zmysle komplementárnosti významov uvedených v predchádzajúcom bode, ktoré treba zohľadniť pri výklade pojmu „zmysluplné informácie o použitom postupe“ v zmysle článku 15 ods. 1 písm. h) GDPR, ako v podstate uviedol generálny advokát v bode 65 svojich návrhov.

42

Hoci tieto posledné uvedené informácie, ktoré podľa usmernení k automatizovanému individuálnemu rozhodovaniu a profilovaniu na účely nariadenia (EÚ) 2016/679 prijatých 3. októbra 2017 pracovnou skupinou zriadenou článkom 29 smernice 95/46, v ich revidovanom znení prijatom 6. februára 2018 musia na to, aby boli zmysluplné a zrozumiteľné, byť doplnené o „skutočné a hmatateľné príklady“, nie sú predmetom otázok položených vnútroštátnym súdom, treba ich však zohľadniť ako súčasť kontextu, do ktorého patrí pojem „zmysluplné informácie o použitom postupe“.

46

V druhom rade vzhľadom na skutočnosť, že pojem „zmysluplné informácie o použitom postupe“ sa nachádza aj v článku 13 ods. 2 písm. f) a článku 14 ods. 2 písm. g) GDPR, Súdny dvor už konštatoval, že v prípade automatizovaného rozhodovania v zmysle článku 22 ods. 1 tohto nariadenia tvorí právo na prístup k takýmto informáciám zakotvené v jeho článku 15 ods. 1 písm. h) jeden celok s dodatočnými informačnými povinnosťami, ktoré má prevádzkovateľ podľa tohto článku 13 ods. 2 písm. f) a článku 14 ods. 2 písm. g) GDPR [pozri v tomto zmysle rozsudok zo 7. decembra 2023, SCHUFA Holding a i. (Scoring), C‑634/21 , EU:C:2023:957 , bod 56 ].

47

V treťom rade, ako v podstate uviedol generálny advokát v bodoch 58 až 60 svojich návrhov, v rámci kontextuálneho výkladu práv na prístup k údajom stanovených pre prípad automatizovaného rozhodovania treba zohľadniť judikatúru Súdneho dvora týkajúcu sa požiadaviek, ktoré musí prevádzkovateľ dodržiavať podľa článku 15 ods. 3 GDPR.

48

Pokiaľ ide napokon o ciele GDPR, treba pripomenúť, že cieľ tohto nariadenia spočíva najmä v zabezpečení vysokej úrovne ochrany základných práv a slobôd fyzických osôb, najmä ich práva na súkromie v súvislosti so spracúvaním osobných údajov zakotveného v článku 16 ZFEÚ a ako základného práva v článku 8 ods. 1 Charty, ktoré dopĺňa právo na súkromný život zaručené v jej článku 7 [pozri v tomto zmysle rozsudok zo 4. októbra 2024, Schrems (Sprístupnenie údajov širokej verejnosti), C‑446/21 , EU:C:2024:834 , bod 45 a citovanú judikatúru].

52

Ako teda spresňuje navyše jeho odôvodnenie 11, účelom GDPR je posilniť a spresniť práva dotknutých osôb (rozsudok zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21 , EU:C:2023:369 , bod 33 , ako aj citovaná judikatúra).

53

Pokiaľ ide konkrétne o právo na prístup k údajom stanovené v článku 15 GDPR, z judikatúry Súdneho dvora vyplýva, že toto právo musí dotknutej osobe umožniť uistiť sa, že osobné údaje, ktoré sa jej týkajú, sú správne a že sa spracúvajú zákonným spôsobom [rozsudky zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21 , EU:C:2023:369 , bod 34 , ako aj z 26. októbra 2023, FT (Kópie lekárskeho záznamu), C‑307/22 , EU:C:2023:811 , bod 73 ].

54

V tejto súvislosti z odôvodnenia 71 GDPR vyplýva, že ak sa na dotknutú osobu vzťahuje rozhodnutie prijaté výlučne na základe automatizovaného spracúvania, ktoré sa jej významne dotýka, táto osoba musí mať právo získať vysvetlenie tohto rozhodnutia. Ako uviedol generálny advokát v bode 67 svojich návrhov, treba teda konštatovať, že článok 15 ods. 1 písm. h) GDPR poskytuje dotknutej osobe skutočné právo na vysvetlenie fungovania mechanizmu, na ktorom je založené automatizované rozhodovanie, ktoré sa týkalo tejto osoby, a výsledku, ku ktorému toto rozhodnutie viedlo.

58

Z preskúmania cieľov GDPR, a najmä z jeho článku 15 ods. 1 písm. h) vyplýva, že právo na získanie „zmysluplných informácií o použitom postupe“ pri automatizovanom rozhodovaní v zmysle tohto ustanovenia treba chápať ako právo na vysvetlenie postupu a zásad konkrétne použitých na automatizované využívanie osobných údajov dotknutej osoby na účely dosiahnutia konkrétneho výsledku, napríklad profilu bonity. S cieľom umožniť dotknutej osobe účinne vykonávať práva, ktoré jej priznáva GDPR, a najmä jeho článok 22 ods. 3, musí byť toto vysvetlenie poskytnuté prostredníctvom relevantných informácií a v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme.

59

Tieto požiadavky nemôže spĺňať ani jednoduché oznámenie zložitého matematického vzorca, akým je algoritmus, ani podrobný opis všetkých krokov automatizovaného rozhodovania, keďže žiadny z týchto spôsobov nepredstavuje dostatočne stručné a zrozumiteľné vysvetlenie.

60

Vzhľadom na to ešte treba spresniť, že pokiaľ ide o otázku, či poskytnuté informácie musia dotknutej osobe umožniť overiť správnosť osobných údajov, ktoré sa jej týkajú a na ktorých sa zakladá automatizované rozhodovanie, právo na prístup k uvedeným údajom neupravuje článok 15 ods. 1 písm. h) GDPR, ale úvodná veta toho istého odseku, ktorá dotknutej osobe zaručuje možnosť ubezpečiť sa o správnosti týchto údajov, ako vyplýva z judikatúry citovanej v bode 53 tohto rozsudku.

64

Napokon, pokiaľ ide o tvrdenie vnútroštátneho súdu, že informácie, ktoré D & B poskytla CK na základe článku 15 ods. 1 písm. h) GDPR, sú v rozpore so skutkovými okolnosťami, keďže „skutočné“ profilovanie viedlo k záveru, že nie je bonitná, hoci uvedené informácie naznačujú opak, treba uviesť, že pokiaľ podľa tohto súdu takto zistený nesúlad vyplýva z toho, že D & B neinformovala CK o profilovaní, ktorému bola podrobená na účely mobilného operátora, ktorý s ňou na tomto základe odmietol uzavrieť alebo predĺžiť zmluvu, mal by sa napraviť prostredníctvom práva na prístup k takto stanovenému profilu bonity. V tejto súvislosti z judikatúry Súdneho dvora vyplýva, že na osobné údaje, ktoré vytvoril samotný prevádzkovateľ, sa vzťahuje článok 14 GDPR (pozri v tomto zmysle rozsudok z 28. novembra 2024, Másdi, C‑169/23 , EU:C:2024:988 , bod 48 ).

65

Naproti tomu vysvetlenie rozdielov existujúcich medzi výsledkom takéhoto „skutočného“ profilovania, aj keby bolo preukázané, a výsledkom oznámeným CK spoločnosťou D & B a získaným podľa tejto spoločnosti „ekvivalentnou agregáciou“ údajov týkajúcich sa CK, by skutočne patrilo pod „zmysluplné informácie o použitom postupe“ takto vykonaného profilovania. V súlade s tým, čo bolo uvedené v bode 58 tohto rozsudku, je teda D & B povinná v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme vysvetliť postup a zásady, na základe ktorých bol dosiahnutý výsledok „skutočného“ profilovania.

V tejto súvislosti treba pripomenúť, že podľa odôvodnenia 4 GDPR právo na ochranu osobných údajov nie je absolútnym právom a musí byť vyvážené s ostatnými základnými právami v súlade so zásadou proporcionality. GDPR tak rešpektuje všetky základné práva a dodržiava slobody a zásady uznané v Charte, ktoré sú zakotvené v Zmluvách [rozsudok z 26. októbra 2023, FT (Kópie lekárskeho záznamu), C‑307/22 , EU:C:2023:811 , bod 59 a citovaná judikatúra].

69

Navyše sa v odôvodnení 63 tohto nariadenia uvádza, že právo každej dotknutej osoby na prístup k osobným údajom, ktoré o nej boli zhromaždené, by sa nemalo nepriaznivo dotknúť práv alebo slobôd iných osôb, ani obchodného tajomstva alebo práv duševného vlastníctva a najmä autorských práv týkajúcich sa softvéru.

70

Výsledkom zohľadnenia týchto skutočností by však nemalo byť odmietnutie poskytnutia akýchkoľvek informácií dotknutej osobe. Článok 23 ods. 1 písm. i) tohto nariadenia tak v podstate stanovuje, že obmedzenie rozsahu povinností a práv stanovených najmä v jeho článku 15 je možné len vtedy, ak takéto obmedzenie rešpektuje podstatu základných práv a slobôd a predstavuje nevyhnutné a primerané opatrenie v demokratickej spoločnosti s cieľom zaistiť ochranu práv a slobôd iných.

71

74

Ako uviedol generálny advokát v bode 94 svojich návrhov, túto judikatúru možno v plnom rozsahu uplatniť na prípad, keď informácie, ktoré sa majú poskytnúť dotknutej osobe na základe práva na prístup k údajom zaručeného článkom 15 ods. 1 písm. h) GDPR, môžu viesť k porušeniu práv a slobôd iných, najmä preto, že obsahujú osobné údaje tretích osôb chránené uvedeným nariadením alebo obchodné tajomstvo v zmysle článku 2 bodu 1 smernice 2016/943. Aj v tomto prípade musia byť uvedené informácie oznámené príslušnému dozornému orgánu alebo súdu, ktoré sú zodpovedné za vyváženie dotknutých práv a záujmov na účely určenia rozsahu práva dotknutej osoby na prístup k osobným údajom, ktoré sa jej týkajú.

75

Pokiaľ ide o potrebu takého určenia v každom jednotlivom prípade, článok 15 ods. 1 písm. h) GDPR bráni najmä uplatneniu ustanovenia, akým je ustanovenie § 4 ods. 6 DSG, ktoré v zásade vylučuje právo dotknutej osoby na prístup k údajom stanovené v článku 15 GDPR, ak by takýto prístup ohrozil obchodné alebo podnikové tajomstvo prevádzkovateľa alebo tretej osoby. V tejto súvislosti treba pripomenúť, že členský štát nemôže s konečnou platnosťou stanoviť výsledok vyváženia dotknutých práv a záujmov v každom jednotlivom prípade, ktoré ukladá právo Únie [pozri v tomto zmysle rozsudok zo 7. decembra 2023, SCHUFA Holding a i. (Scoring), C‑634/21 , EU:C:2023:957 , bod 70 , ako aj citovanú judikatúru].

76

S prihliadnutím na všetky predchádzajúce úvahy treba na tretiu otázku písm. b) a c), štvrtú otázku písm. a) a b), ako aj na piatu a šiestu otázku odpovedať tak, že článok 15 ods. 1 písm. h) GDPR sa má vykladať v tom zmysle, že v prípade, že sa prevádzkovateľ domnieva, že informácie, ktoré sa majú poskytnúť dotknutej osobe v súlade s týmto ustanovením, obsahujú údaje tretích osôb chránené týmto nariadením alebo obchodné tajomstvo v zmysle článku 2 bodu 1 smernice 2016/943, je tento prevádzkovateľ povinný oznámiť tieto údajne chránené informácie príslušnému dozornému orgánu alebo súdu, ktorým prináleží vyvážiť dotknuté práva a záujmy na účely určenia rozsahu práva dotknutej osoby na prístup k údajom stanoveného v článku 15 GDPR.

sa má vykladať v tom zmysle, že:

v prípade automatizovaného rozhodovania vrátane profilovania v zmysle článku 22 ods. 1 tohto nariadenia môže dotknutá osoba od prevádzkovateľa v rámci „zmysluplných informácií o použitom postupe“ požadovať, aby jej prostredníctvom relevantných informácií a v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme vysvetlil postup a zásady použité v jej prípade na automatizované využitie jej osobných údajov na účely dosiahnutia určitého výsledku, napríklad profilu bonity.

2.

Článok 15 ods. 1 písm. h) nariadenia 2016/679

sa má vykladať v tom zmysle, že:

v prípade, že sa prevádzkovateľ domnieva, že informácie, ktoré sa majú poskytnúť dotknutej osobe v súlade s týmto ustanovením, obsahujú údaje tretích osôb chránené týmto nariadením alebo obchodné tajomstvo v zmysle článku 2 bodu 1 smernice Európskeho parlamentu a Rady (EÚ) 2016/943 z 8. júna 2016 o ochrane nesprístupneného know‑how a obchodných informácií (obchodného tajomstva) pred ich neoprávneným získaním, využitím a sprístupnením, je tento prevádzkovateľ povinný oznámiť tieto údajne chránené informácie príslušnému dozornému orgánu alebo súdu, ktorým prináleží vyvážiť dotknuté práva a záujmy na účely určenia rozsahu práva dotknutej osoby na prístup k údajom stanoveného v článku 15 GDPR.