Αίτηση προδικαστικής αποφάσεως την οποία υπέβαλε το Verwaltungsgericht Wien (Αυστρία) στις 16 Μαρτίου 2022 – CK
(Υπόθεση C-203/22)
Γλώσσα διαδικασίας: η γερμανική
Αιτούν δικαστήριο
Verwaltungsgericht Wien
Διάδικοι στην υπόθεση της κύριας δίκης
Προσφεύγουσα: CK
Μετέχοντες στη διαδικασία: Dun & Bradstreet Austria GmbH, Magistrat der Stadt Wien
Προδικαστικά ερωτήματα
Ποιες ουσιαστικές απαιτήσεις πρέπει να πληροί η παρεχόμενη πρόσβαση για να μπορεί να χαρακτηριστεί αρκούντως «σημαντική» κατά την έννοια του άρθρου 15, παράγραφος 1, στοιχείο η΄, του Γενικού Κανονισμού για την Προστασία Δεδομένων (στο εξής: ΓΚΠΔ) 1 ;
Στην περίπτωση της κατάρτισης προφίλ, και τηρουμένου πάντως του τυχόν υφιστάμενου επιχειρηματικού απορρήτου, πρέπει να γνωστοποιούνται από τον υπεύθυνο επεξεργασίας, στο πλαίσιο της ενημέρωσης σχετικά με την «λογική που ακολουθείται», κατ’ αρχήν, επίσης, οι πληροφορίες που είναι, στη συγκεκριμένη περίπτωση, ουσιώδεις για να καταστεί κατανοητό το αποτέλεσμα της αυτοματοποιημένης λήψης αποφάσεων, μεταξύ των οποίων περιλαμβάνονται, ιδίως, 1) η γνωστοποίηση των επεξεργασθέντων δεδομένων του υποκειμένου των δεδομένων, 2) η γνωστοποίηση των απαραίτητων για την κατανόηση του αποτελέσματος τμημάτων του αλγορίθμου στον οποίο βασίζεται η κατάρτιση του προφίλ και 3) οι πληροφορίες που απαιτούνται για τη συσχέτιση των επεξεργασθεισών πληροφοριών με τη διενεργηθείσα εκτίμηση;
Πρέπει, στις περιπτώσεις που έχουν ως αντικείμενο την κατάρτιση προφίλ, να γνωστοποιούνται στον δικαιούχο πρόσβασης κατά το άρθρο 15, παράγραφος 1, στοιχείο η΄, του ΓΚΠΔ, σε κάθε περίπτωση, ακόμη και σε περίπτωση προβολής της ένστασης ύπαρξης επιχειρηματικού απορρήτου, οι ακόλουθες πληροφορίες σχετικά με τη συγκεκριμένη επεξεργασία που τον αφορά, προκειμένου να διασφαλιστεί ο σεβασμός των δικαιωμάτων που αρύεται από το άρθρο 22, παράγραφος 3, του ΓΚΠΔ:
α) διαβίβαση όλων των ενδεχομένως ψευδωνυμοποιημένων πληροφοριών, ιδίως σχετικά με τον τρόπο επεξεργασίας των δεδομένων του υποκειμένου των δεδομένων, οι οποίες καθιστούν δυνατό τον έλεγχο της συμμόρφωσης με τον ΓΚΠΔ,
β) διάθεση των εισερχόμενων δεδομένων που χρησιμοποιήθηκαν για την κατάρτιση προφίλ,
γ) οι παράμετροι και οι εισαγόμενες μεταβλητές που χρησιμοποιήθηκαν για τη διενέργεια της αξιολόγησης,
δ) η επίδραση των εν λόγω παραμέτρων και εισαγόμενων μεταβλητών στην υπολογισθείσα αξιολόγηση,
ε) πληροφορίες σχετικά με την προέλευση των παραμέτρων και/ή των εισαγόμενων μεταβλητών,
στ) επεξήγηση του λόγου για τον οποίο ο δικαιούχος πρόσβασης κατά το άρθρο 15, παράγραφος 1, στοιχείο η΄, του ΓΚΠΔ υπήρξε αποδέκτης συγκεκριμένου αποτελέσματος αξιολόγησης και παράθεση της δήλωσης που συνδέεται με την αξιολόγηση αυτή,
ζ) απαρίθμηση των κατηγοριών προφίλ και παροχή διευκρινίσεων όσον αφορά το ποια δήλωση αξιολόγησης συνδέεται με κάθε μία από τις κατηγορίες προφίλ;
2) Συνδέεται το απονεμόμενο από το άρθρο 15, παράγραφος 1, στοιχείο η΄, του ΓΚΠΔ δικαίωμα πρόσβασης με τα κατοχυρωμένα από το άρθρο 22, παράγραφος 3, του ΓΚΠΔ δικαιώματα έκφρασης άποψης και αμφισβήτησης της ληφθείσας αυτοματοποιημένης απόφασης κατά το άρθρο 22 του ΓΚΠΔ, υπό την έννοια ότι το εύρος των πληροφοριών που πρέπει να παρέχονται κατόπιν αίτησης παροχής πρόσβασης κατά το άρθρο 15, παράγραφος 1, στοιχείο η΄, του ΓΚΠΔ είναι αρκούντως «σημαντικό» μόνον όταν ο αιτών την πρόσβαση και υποκείμενο των δεδομένων κατά το άρθρο 15, παράγραφος 1, στοιχείο η΄, του ΓΚΠΔ είναι σε θέση να ασκήσει πραγματικά, εκτενώς και αποτελεσματικά τα κατοχυρωμένα από το άρθρο 22, παράγραφος 3, του ΓΚΠΔ δικαιώματα έκφρασης άποψης και αμφισβήτησης της ληφθείσας αυτοματοποιημένης απόφασης;
3 α) Έχει το άρθρο 15, παράγραφος 1, στοιχείο η΄, του ΓΚΠΔ την έννοια ότι «σημαντικές πληροφορίες» κατά την έννοια της διάταξης αυτής πρέπει να θεωρηθεί ότι είναι μόνον οι πληροφορίες που είναι τόσο εκτεταμένες ώστε ο δικαιούχος πρόσβασης κατά το άρθρο 15, παράγραφος 1, στοιχείο η΄, του ΓΚΠΔ να είναι σε θέση να εξακριβώσει αν οι εν λόγω παρασχεθείσες πληροφορίες ανταποκρίνονται εν τέλει στην πραγματικότητα, ήτοι αν η συγκεκριμένα ζητηθείσα αυτοματοποιημένη απόφαση βασίστηκε πράγματι στις γνωστοποιηθείσες πληροφορίες;
β) Σε περίπτωση καταφατικής απάντησης: Ποια είναι η ενδεδειγμένη λύση σε περίπτωση που η ακρίβεια των πληροφοριών που παρασχέθηκαν από έναν υπεύθυνο επεξεργασίας μπορεί να επαληθευτεί μόνον εφόσον γνωστοποιηθούν στον δικαιούχο πρόσβασης κατά το άρθρο 15, παράγραφος 1, στοιχείο η΄, του ΓΚΠΔ, μεταξύ άλλων, και δεδομένα τρίτων που προστατεύονται από τον ΓΚΠΔ («black box»);
Μπορεί, επίσης, η σύγκρουση αυτή μεταξύ του δικαιώματος πρόσβασης κατά το άρθρο 15, παράγραφος 1, του ΓΚΠΔ και του δικαιώματος τρίτων στην προστασία των δεδομένων τους να αρθεί με τη γνωστοποίηση των απαραίτητων για την επαλήθευση της ακρίβειας δεδομένων των τρίτων, τα οποία έχουν υποβληθεί ομοίως στην ίδια διαδικασία κατάρτισης προφίλ, αποκλειστικά και μόνο στη διοικητική αρχή ή στο δικαστήριο, με αποτέλεσμα η διοικητική αρχή ή το δικαστήριο να οφείλει να ελέγξει αυτοτελώς το αν τα γνωστοποιηθέντα δεδομένα των εν λόγω τρίτων ανταποκρίνονται στην πραγματικότητα;
γ) Σε περίπτωση καταφατικής απάντησης: Ποια δικαιώματα πρέπει να παρέχονται, σε κάθε περίπτωση, στον δικαιούχο πρόσβασης κατά το άρθρο 15, παράγραφος 1, στοιχείο η΄, του ΓΚΠΔ όταν απαιτείται η διασφάλιση της προστασίας των δικαιωμάτων τρίτων κατά το άρθρο 15, παράγραφος 4, του ΓΚΠΔ μέσω της δημιουργίας του υπό β΄ μνημονευόμενου «black box»;
Πρέπει τότε, σε κάθε περίπτωση, να γνωστοποιούνται στον δικαιούχο πρόσβασης κατά το άρθρο 15, παράγραφος 1, στοιχείο η΄, του ΓΚΠΔ, σε ψευδωνυμοποιημένη μορφή, τα δεδομένα τρίτων των οποίων η γνωστοποίηση είναι απαραίτητη προκειμένου να καταστεί δυνατή η επαλήθευση της ορθότητας των αποφάσεων που ελήφθησαν από τον υπεύθυνο επεξεργασίας κατά το άρθρο 15, παράγραφος 1, στοιχείο η΄, του ΓΚΠΔ;
4 α) Ποια είναι η ενδεδειγμένη λύση όταν οι χρήζουσες γνωστοποίησης πληροφορίες κατά το άρθρο 15, παράγραφος 1, στοιχείο η΄, του ΓΚΠΔ πληρούν και τις προϋποθέσεις συνδρομής εμπορικού απορρήτου που προβλέπονται στο άρθρο 2, σημείο 1, της οδηγίας για την τεχνογνωσία 1 ;
Μπορεί η σύγκρουση μεταξύ του δικαιώματος πρόσβασης που κατοχυρώνεται στο άρθρο 15, παράγραφος 1, στοιχείο η΄, του ΓΚΠΔ και του δικαιώματος τήρησης του εμπορικού απορρήτου, το οποίο προστατεύεται από την οδηγία για την τεχνογνωσία, να αρθεί με τη γνωστοποίηση των πληροφοριών που χαρακτηρίζονται ως εμπορικό απόρρητο κατά το άρθρο 2, σημείο 1, της οδηγίας για την τεχνογνωσία αποκλειστικά και μόνο στη διοικητική αρχή ή στο δικαστήριο, με αποτέλεσμα η διοικητική αρχή ή το δικαστήριο να οφείλει να ελέγξει αυτοτελώς το αν πρέπει να θεωρηθεί ότι υφίσταται εμπορικό απόρρητο κατά το άρθρο 2, σημείο 1, της οδηγίας για την τεχνογνωσία και το αν οι πληροφορίες που παρασχέθηκαν από τον υπεύθυνο επεξεργασίας κατά το άρθρο 15, παράγραφος 1, του ΓΚΠΔ ανταποκρίνονται στην πραγματικότητα;
β) Ποια δικαιώματα πρέπει να παρέχονται, σε κάθε περίπτωση, στον δικαιούχο πρόσβασης κατά το άρθρο 15, παράγραφος 1, στοιχείο η΄, του ΓΚΠΔ όταν απαιτείται η διασφάλιση της προστασίας των δικαιωμάτων τρίτων κατά το άρθρο 15, παράγραφος 4, του ΓΚΠΔ μέσω της δημιουργίας του υπό α΄ μνημονευόμενου «black box»;
Πρέπει, (ακόμη και) στην εν λόγω περίπτωση της διάστασης μεταξύ των πληροφοριών που πρέπει να γνωστοποιηθούν στη διοικητική αρχή ή στο δικαστήριο και των πληροφοριών που πρέπει να γνωστοποιηθούν στον δικαιούχο πρόσβασης κατά το άρθρο 15, παράγραφος 1, στοιχείο η΄, του ΓΚΠΔ, στις περιπτώσεις που έχουν ως αντικείμενο την κατάρτιση προφίλ, να γνωστοποιούνται στον δικαιούχο πρόσβασης κατά το άρθρο 15, παράγραφος 1, στοιχείο η΄, του ΓΚΠΔ, σε κάθε περίπτωση, οι ακόλουθες πληροφορίες σχετικά με τη συγκεκριμένη επεξεργασία που τον αφορά, προκειμένου να διασφαλιστεί ο σεβασμός των δικαιωμάτων που αρύεται από το άρθρο 22, παράγραφος 3, του ΓΚΠΔ:
α) διαβίβαση όλων των ενδεχομένως ψευδωνυμοποιημένων πληροφοριών, ιδίως σχετικά με τον τρόπο επεξεργασίας των δεδομένων του υποκειμένου των δεδομένων, οι οποίες καθιστούν δυνατό τον έλεγχο της συμμόρφωσης με τον ΓΚΠΔ,
β) διάθεση των εισερχόμενων δεδομένων που χρησιμοποιήθηκαν για την κατάρτιση προφίλ,
γ) οι παράμετροι και οι εισαγόμενες μεταβλητές που χρησιμοποιήθηκαν για τη διενέργεια της αξιολόγησης,
δ) η επίδραση των εν λόγω παραμέτρων και εισαγόμενων μεταβλητών στην υπολογισθείσα αξιολόγηση,
ε) πληροφορίες σχετικά με την προέλευση των παραμέτρων και/ή των εισαγόμενων μεταβλητών,
στ) επεξήγηση του λόγου για τον οποίο ο δικαιούχος πρόσβασης κατά το άρθρο 15, παράγραφος 1, στοιχείο η΄, του ΓΚΠΔ υπήρξε αποδέκτης συγκεκριμένου αποτελέσματος αξιολόγησης και παράθεση της δήλωσης που συνδέεται με την αξιολόγηση αυτή,
ζ) απαρίθμηση των κατηγοριών προφίλ και παροχή διευκρινίσεων όσον αφορά το ποια δήλωση αξιολόγησης συνδέεται με κάθε μία από τις κατηγορίες προφίλ;
Περιορίζει η διάταξη του άρθρου 15, παράγραφος 4, του ΓΚΠΔ καθ’ οιονδήποτε τρόπο το εύρος των πληροφοριών που χρήζουν γνωστοποίησης βάσει του άρθρου 15, παράγραφος 1, στοιχείο η΄, του ΓΚΠΔ;
Σε περίπτωση καταφατικής απάντησης, με ποιον τρόπο περιορίζεται το εν λόγω δικαίωμα πρόσβασης από το άρθρο 15, παράγραφος 4, του ΓΚΠΔ και πώς διαπιστώνεται, στην εκάστοτε περίπτωση, το εύρος του εν λόγω περιορισμού;
Συνάδει με τις απαιτήσεις του άρθρου 15, παράγραφος 1, σε συνδυασμό με το άρθρο 22, παράγραφος 3, του ΓΚΠΔ, η διάταξη του άρθρου 4, παράγραφος 6, του νόμου περί προστασίας δεδομένων, κατά την οποία «[υ]πό την επιφύλαξη άλλων νομικών περιορισμών, το δικαίωμα πρόσβασης του υποκειμένου των δεδομένων σύμφωνα με το άρθρο 15 του ΓΚΠΔ δεν υφίσταται έναντι του υπευθύνου επεξεργασίας, κατά κανόνα, στις περιπτώσεις που από την παροχή της πρόσβασης αυτής θα διακυβευόταν ένα εμπορικό ή επιχειρηματικό απόρρητο του υπευθύνου επεξεργασίας και/ή τρίτων»; Σε περίπτωση καταφατικής απάντησης, υπό ποιες προϋποθέσεις υφίσταται τέτοια συμβατότητα;
____________
1 Κανονισμός (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (ΕΕ 2016, L 119, σ. 1).
1 Οδηγία (EE) 2016/943 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 8ης Ιουνίου 2016, περί προστασίας της τεχνογνωσίας και των επιχειρηματικών πληροφοριών που δεν έχουν αποκαλυφθεί (εμπορικό απόρρητο) από την παράνομη απόκτηση, χρήση και αποκάλυψή τους (ΕΕ 2016, L 157, σ. 1).