7.6.2022   

SL

Uradni list Evropske unije

C 222/18

Predlog za sprejetje predhodne odločbe, ki ga je vložilo Verwaltungsgericht Wien (Avstrija) 16. marca 2022 – CK

(Zadeva C-203/22)

(2022/C 222/30)

Jezik postopka: nemščina

Predložitveno sodišče

Verwaltungsgericht Wien

Stranke v postopku v glavni stvari

Pritožnica: CK

Ob udeležbi: Dun & Bradstreet Austria GmbH, Magistrat der Stadt Wien

Vprašanja za predhodno odločanje

1.

Katere vsebinske zahteve mora izpolnjevati predložena informacija, da se jo lahko opredeli kot dovolj „smiselno“ v smislu člena 15(1)(h) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (1) (Splošna uredba o varstvu podatkov, v nadaljevanju: SUVP)?

Ali mora upravljavec – v skrajnem primeru ob spoštovanju veljavne poslovne skrivnosti – v primeru oblikovanja profila v okviru dajanja informacij o „razlogih za avtomatizirano sprejemanje odločitev“ načeloma predložiti tudi informacije, ki so bistvene za to, da se omogoči razumljivost rezultata avtomatiziranega sprejemanja posameznih odločitev, h katerim spadajo zlasti 1) navedba obdelanih podatkov posameznika, na katerega se nanašajo osebni podatki, 2) navedba delov algoritma, na katerem temelji oblikovanje profila, ki so potrebni, da se omogoči razumljivost, in 3) ustrezne informacije za ugotovitev povezave med obdelanimi informacijami in opravljeno valuacijo?

Ali je treba v primerih, ki se nanašajo na oblikovanje profilov, osebi, ki ima pravico dostopa v smislu člena 15(1)(h) Splošne uredbe o varstvu podatkov (SUVP), tudi v primeru ugovora poslovne skrivnosti vsekakor predložiti naslednje informacije o konkretni obdelavi, ki se je nanašala nanjo, da se ji omogoči varovanje njenih pravic iz člena 22(3) Splošne uredbe o varstvu podatkov (SUVP):

(a)

predložitev vseh, v skrajnem primeru psevdoanonimiziranih informacij, zlasti o načinu obdelave podatkov posameznika, na katerega se nanašajo osebni podatki, na podlagi katerih je mogoče preveriti spoštovanje Splošne uredbe o varstvu podatkov (SUVP);

(b)

zagotovitev vhodnih podatkov, uporabljenih za oblikovanje profila;

(c)

parametre in vhodne spremenljivke, ki so bili uporabljeni pri oceni;

(d)

vpliv teh parametrov in vhodnih spremenljivk na izračunano oceno;

(e)

informacije o nastanku parametrov oziroma vhodnih spremenljivk;

(f)

razlago, zakaj se je osebi, ki ima pravico dostopa v smislu člena 15(1)(h) Splošne uredbe o varstvu podatkov (SUVP), dodelilo določeno oceno, in pojasnitev, katera trditev je bila povezana s to oceno;

(g)

seznam kategorij profilov in razlago, katera trditev o oceni je povezana s posameznimi kategorijami profilov?

2)

Ali je pravica dostopa, ki jo zagotavlja člen 15(1)(h) Splošne uredbe o varstvu podatkov (SUVP), povezana s pravicama do izražanja lastnega stališča in izpodbijanja odločitve, ki temelji na avtomatizirani obdelavi, v smislu člena 22 SUVP, ki ju zagotavlja člen 22(3) SUVP, zato, ker je obseg informacij, ki jih je treba predložiti na podlagi zahteve za dostop v smislu člena 15(1)(h) SUVP, dovolj „smiseln“ le, če je osebi, ki zahteva dostop, in posamezniku, na katerega se nanašajo osebni podatki, v smislu člena 15(1)(h) SUVP omogočeno, da dejansko, temeljito in z velikimi možnostmi za uspeh uresničuje pravici do izražanja lastnega stališča in izpodbijanja odločitve, ki temelji na avtomatizirani obdelavi in se nanaša nanj, v smislu člena 22 SUVP, ki mu ju zagotavlja člen 22(3) SUVP?

3

a)

Ali je treba člen 15(1)(h) Splošne uredbe o varstvu podatkov (SUVP) razlagati tako, da je treba šteti, da gre za „smiselno informacijo“ v smislu te določbe le, če je ta informacija tako obsežna, da lahko oseba, ki ima pravico dostopa v smislu člena 15(1)(h) SUVP, ugotovi, ali se ta predložena informacija tudi ujema z dejstvi, torej, ali je odločitev, ki temelji na avtomatizirani obdelavi, za katero je bila opravljena konkretna poizvedba, tudi dejansko temeljila na predloženih informacijah?

b)

V primeru pritrdilnega odgovora: kako je treba ukrepati, če je mogoče pravilnost informacije, ki jo predloži upravljavec, preveriti le s tem, da se osebo, ki ima pravico dostopa v smislu člena 15(1)(h) Splošne uredbe o varstvu podatkov (SUVP), seznani tudi s podatki tretjih oseb, ki jih varuje SUVP (črna skrinjica)?

Ali je mogoče to trenje med pravico dostopa v smislu člena 15(1) Splošne uredbe o varstvu podatkov (SUVP) in pravico tretjih oseb do varstva osebnih podatkov odpraviti tudi s tem, da se osebni podatki tretjih oseb, ki so potrebni za preverjanje pravilnosti in ki so se prav tako uporabili v istem postopku oblikovanja profilov, razkrijejo izključno organu ali sodišču, tako da mora organ ali sodišče samostojno preveriti, ali se predloženi osebni podatki teh tretjih oseb ujemajo z dejstvi?

c)

V primeru pritrdilnega odgovora: katere pravice je treba s tem, da se vzpostavi črna skrinjica, omenjena v tretjem vprašanju, točka (b), vsekakor priznati osebi, ki ima pravico dostopa v smislu člena 15(1)(h) Splošne uredbe o varstvu podatkov (SUVP), če je treba obvezno zagotoviti varstvo pravic drugih v smislu člena 15(4) SUVP?

Ali je treba osebi, ki ima pravico dostopa v smislu člena 15(1)(h) Splošne uredbe o varstvu podatkov (SUVP), v tem primeru vsekakor v psevdoanonimizirani obliki predložiti osebne podatke drugih oseb, ki jih mora v smislu člena 15(1) Splošne uredbe o varstvu podatkov (SUVP) predložiti upravljavec, da se omogoči preverjanje, ali je bilo sprejemanje odločitve pravilno?

4

a)

Kako je treba ravnati, če informacija, ki jo je treba predložiti v smislu člena 15(1)(h) Splošne uredbe o varstvu podatkov (SUVP), izpolnjuje tudi zahteve za poslovno skrivnost v smislu člena 2, točka 1, Direktive (EU) 2016/943 (2) Evropskega parlamenta in Sveta z dne 8. junija 2016 o varstvu nerazkritega strokovnega znanja in izkušenj ter poslovnih informacij (poslovnih skrivnosti) pred njihovo protipravno pridobitvijo, uporabo in razkritjem, UL 2016, L 157, str. 1 (Direktiva o strokovnem znanju in izkušnjah)?

Ali je mogoče trenje med pravico dostopa, zagotovljeno s členom 15(1)(h) Splošne uredbe o varstvu podatkov (SUVP), in pravico do nerazkritja poslovne skrivnosti, varovano z Direktivo o strokovnem znanju in izkušnjah, odpraviti s tem, da se informacije, ki jih je treba opredeliti kot poslovno skrivnost v smislu člena 2, točka 1, Direktive o strokovnem znanju in izkušnjah, razkrijejo izključno organu ali sodišču, tako da mora organ ali sodišče samostojno preveriti, ali je treba šteti, da gre za poslovno skrivnost v smislu člena 2, točka 1, Direktive o strokovnem znanju in izkušnjah, in ali se informacija, ki jo je v smislu člena 15(1) Splošne uredbe o varstvu podatkov (SUVP) predložil upravljavec, ujema z dejstvi?

b)

V primeru pritrdilnega odgovora: katere pravice je treba s tem, da se vzpostavi črna skrinjica, omenjena v četrtem vprašanju, točka (a), vsekakor priznati osebi, ki ima pravico dostopa v smislu člena 15(1)(h) Splošne uredbe o varstvu podatkov (SUVP), če je treba obvezno zagotoviti varstvo pravic drugih v smislu člena 15(4) Splošne uredbe o varstvu podatkov (SUVP)?

Ali je treba (tudi) v tem primeru neskladja informacij, ki jih je treba predložiti organu oziroma sodišču, in informacij, ki jih je treba v smislu člena 15(1)(h) Splošne uredbe o varstvu podatkov (SUVP) predložiti osebi, ki ima pravico dostopa, v primerih, ki se nanašajo na oblikovanje profilov, osebi, ki ima pravico dostopa v smislu člena 15(1)(h) Splošne uredbe o varstvu podatkov (SUVP), vsekakor predložiti naslednje informacije o konkretni obdelavi, ki se je nanašala nanjo, da se ji v celoti omogoči varovanje njenih pravic iz člena 22(3) Splošne uredbe o varstvu podatkov (SUVP):

(a)

predložitev vseh, v skrajnem primeru psevdoanonimiziranih informacij, zlasti o načinu obdelave podatkov posameznika, na katerega se nanašajo osebni podatki, na podlagi katerih je mogoče preveriti spoštovanje Splošne uredbe o varstvu podatkov (SUVP);

(b)

zagotovitev vhodnih podatkov, uporabljenih za oblikovanje profila;

(c)

parametre in vhodne spremenljivke, ki so bili uporabljeni pri oceni;

(d)

vpliv teh parametrov in vhodnih spremenljivk na izračunano oceno;

(e)

informacije o nastanku parametrov oziroma vhodnih spremenljivk;

(f)

razlago, zakaj se je osebi, ki ima pravico dostopa v smislu člena 15(1)(h) Splošne uredbe o varstvu podatkov (SUVP), dodelilo določeno oceno, in pojasnitev, katera trditev je bila povezana s to oceno;

(g)

seznam kategorij profilov in razlago, katera trditev o oceni je povezana s posameznimi kategorijami profilov?

5)

Ali določba člena 15(4) Splošne uredbe o varstvu podatkov (SUVP) kakorkoli omejuje obseg dostopa, ki ga je treba zagotoviti v skladu s členom 15(1)(h) te uredbe?

V primeru pritrdilnega odgovora: na kakšen način je s členom 15(4) Splošne uredbe o varstvu podatkov omejena ta pravica dostopa in kako se v posameznem primeru ugotovi obseg te omejitve?

6)

Ali je določba člena 4(6) Datenschutzgesetz (zakon o varstvu osebnih podatkov), v skladu s katero „posameznik, na katerega se nanašajo osebni podatki, brez poseganja v druge zakonske omejitve v razmerju do upravljavca praviloma nima pravice dostopa na podlagi člena 15 Splošne uredbe o varstvu podatkov (SUVP), kadar bi bila z zagotovitvijo tega dostopa ogrožena poslovna skrivnost upravljavca oziroma tretjih oseb“, v skladu z zahtevami člena 15(1) v povezavi s členom 22(3) Splošne uredbe o varstvu podatkov (SUVP)? V primeru pritrdilnega odgovora: katere zahteve morajo biti izpolnjene, da gre za tako skladnost?

(1)  Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (UL 2016, L 119, str. 1).

(2)  Direktiva 2016/943 Evropskega parlamenta in Sveta z dne 8. junija 2016 o varstvu nerazkritega strokovnega znanja in izkušenj ter poslovnih informacij (poslovnih skrivnosti) pred njihovo protipravno pridobitvijo, uporabo in razkritjem (UL 2016, L 157, str. 1).