Verzoek om een prejudiciële beslissing, ingediend door het Verwaltungsgericht Wien (Oostenrijk) op 16 maart 2022 – CK
(Zaak C-203/22)
Procestaal: Duits
Verwijzende rechter
Verwaltungsgericht Wien
Partijen in het hoofdgeding
Verzoekende partij: CK
Andere partijen in de procedure: Dun & Bradstreet Austria GmbH, Magistrat der Stadt Wien
Prejudiciële vragen
Aan welke inhoudelijke vereisten moet een verstrekte inlichting voldoen om te kunnen worden aangemerkt als voldoende „nuttig” in de zin van artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming1 (AVG)?
Moet – eventueel met inachtneming van een bestaand bedrijfsgeheim – in het geval van profilering door de verwerkingsverantwoordelijke in het kader van de openbaarmaking van de „onderliggende logica” in beginsel ook de informatie worden verstrekt die van essentieel belang is om het resultaat van de geautomatiseerde besluitvorming in het individuele geval begrijpelijk te maken, zoals met name 1) de verwerkte gegevens van de betrokkene, 2) de delen van het aan de profilering ten grondslag liggende algoritme die noodzakelijk zijn voor de begrijpelijkheid, en 3) de relevante informatie waaruit het verband tussen de verwerkte informatie en de waardering daarvan blijkt?
Moet, ook wanneer het bestaan van een bedrijfsgeheim wordt tegengeworpen, in gevallen waarin wordt gebruikgemaakt van profilering, aan de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) hoe dan ook de volgende informatie over de specifiek op hem betrekking hebbende verwerking worden verstrekt teneinde hem in staat te stellen om de hem krachtens artikel 22, lid 3, van die verordening toekomende rechten uit te oefenen:
a) alle eventueel gepseudonimiseerde informatie, met name over de wijze van verwerking van de gegevens van de betrokkene, aan de hand waarvan kan worden nagegaan of de algemene verordening gegevensbescherming (AVG) wordt nageleefd,
b) informatie over de voor de profilering gebruikte invoergegevens,
c) informatie over de parameters en invoervariabelen die zijn gebruikt om de beoordeling te verrichten,
d) informatie over de invloed van deze parameters en invoervariabelen op de verrichte beoordeling,
e) informatie over de totstandkoming van de parameters en invoervariabelen,
f) informatie over de reden waarom aan de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) een bepaald beoordelingsresultaat is toegekend en over de aan deze beoordeling verbonden conclusie,
g) opsomming van de profielcategorieën en informatie over de beoordelingsconclusie die met elk van de profielcategorieën is verbonden?
Bestaat er tussen enerzijds het bij artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) toegekende recht van inzage en anderzijds het door artikel 22, lid 3, van deze verordening gewaarborgde recht om het eigen standpunt kenbaar te maken en het geautomatiseerde besluit aan te vechten in zoverre een verband dat de omvang van de op grond van een verzoek om inzage in de zin van artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) te verstrekken informatie enkel voldoende „nuttig” is wanneer de om inzage verzoekende betrokkene in de zin van artikel 15, lid 1, onder h), van deze verordening in staat wordt gesteld om daadwerkelijk, diepgaand en met kans van slagen de rechten uit te oefenen die hem worden gegarandeerd door artikel 22, lid 3, van die verordening, te weten het recht om zijn eigen standpunt kenbaar te maken en om het op hem betrekking hebbende geautomatiseerde besluit als bedoeld in artikel 22 van de algemene verordening gegevensbescherming (AVG) aan te vechten?
a) Moet artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) aldus worden uitgelegd dat er slechts van „nuttige informatie” in de zin van deze bepaling sprake is wanneer deze informatie zo uitgebreid is dat de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) kan nagaan of deze informatie ook overeenstemt met de feiten, dat wil zeggen of het specifiek opgevraagde geautomatiseerde besluit ook daadwerkelijk berust op de verstrekte informatie?
3 b) Zo ja: hoe moet er worden gehandeld wanneer de door een verwerkingsverantwoordelijke verstrekte informatie slechts kan worden geverifieerd indien ook door de algemene verordening gegevensbescherming (AVG) beschermde gegevens van derden ter kennis van de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), van deze verordening worden gebracht (black box)?
Kan dit spanningsveld tussen het recht van inzage in de zin van artikel 15, lid 1, van de algemene verordening gegevensbescherming (AVG) en het recht op gegevensbescherming van derden ook worden opgeheven doordat de voor de verificatie vereiste gegevens van derden die aan dezelfde profilering zijn onderworpen, uitsluitend aan de bevoegde autoriteit of rechter worden verstrekt, zodat deze onafhankelijk dient na te gaan of de verstrekte gegevens van die derden feitelijk juist zijn?
3 c) Zo ja: welke rechten moeten de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) hoe dan ook worden toegekend indien de bescherming van de rechten van anderen in de zin van artikel 15, lid 4, van deze verordening moet worden gewaarborgd door het inrichten van een black box als bedoeld onder 3b)?
Moeten in dit geval aan de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) ten minste, in gepseudonimiseerde vorm, de gegevens van anderen worden verstrekt die de verwerkingsverantwoordelijke in de zin van artikel 15, lid 1, van die verordening dient te verstrekken om de verificatie van de juistheid van de besluitvorming mogelijk te maken?
a) Hoe moet er worden gehandeld wanneer de op grond van artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) te verstrekken informatie ook voldoet aan de voorwaarden waaronder er sprake is van een bedrijfsgeheim in de zin van artikel 2, punt 1, van de knowhowrichtlijn1 ?
Kan dit spanningsveld tussen het door artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) gewaarborgde recht van inzage en het door de knowhowrichtlijn beschermde recht op niet-openbaarmaking van bedrijfsgeheimen worden opgeheven door de als bedrijfsgeheim in de zin van artikel 2, punt 1, van de knowhowrichtlijn aan te merken informatie uitsluitend te verstrekken aan de bevoegde autoriteit of rechter, zodat deze onafhankelijk dient na te gaan of er sprake is van een bedrijfsgeheim als bedoeld in die bepaling van de knowhowrichtlijn en of de door de verwerkingsverantwoordelijke in de zin van artikel 15, lid 1, van de algemene verordening gegevensbescherming (AVG) verstrekte informatie feitelijk juist is?
4 b) Zo ja: welke rechten moeten de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) hoe dan ook worden toegekend indien de bescherming van de rechten van anderen in de zin van artikel 15, lid 4, van deze verordening moet worden gewaarborgd door het inrichten van een black box als bedoeld onder 4a)?
Moet (eveneens) in dit geval, waarin er sprake is van een discrepantie tussen de aan de bevoegde autoriteit of rechter te verstrekken informatie en de aan de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) te verstrekken informatie, wanneer wordt gebruikgemaakt van profilering, aan die inzagegerechtigde hoe dan ook de volgende informatie over de specifiek op hem betrekking hebbende verwerking worden verstrekt teneinde hem volledig in staat te stellen om de hem krachtens artikel 22, lid 3, van die verordening toekomende rechten uit te oefenen:
a) alle eventueel gepseudonimiseerde informatie, met name over de wijze van verwerking van de gegevens van de betrokkene, aan de hand waarvan kan worden nagegaan of de algemene verordening gegevensbescherming (AVG) wordt nageleefd,
b) informatie over de voor de profilering gebruikte invoergegevens,
c) informatie over de parameters en invoervariabelen die zijn gebruikt om de beoordeling te verrichten,
d) informatie over de invloed van deze parameters en invoervariabelen op de verrichte beoordeling,
e) informatie over de totstandkoming van de parameters en invoervariabelen,
f) informatie over de reden waarom aan de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) een bepaald beoordelingsresultaat is toegekend en over de aan deze beoordeling verbonden conclusie,
g) opsomming van de profielcategorieën en informatie over de beoordelingsconclusie die met elk van de profielcategorieën is verbonden?
Wordt de omvang van de op grond van artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) te verstrekken informatie op enigerlei wijze beperkt door artikel 15, lid 4, van deze verordening?
Zo ja, op welke wijze wordt dit recht van inzage door artikel 15, lid 4, van die verordening beperkt en hoe moet in het concrete geval de omvang van deze beperking worden vastgesteld?
Is § 4, lid 6, van het Datenschutzgesetz [(Oostenrijkse wet inzake de bescherming van persoonsgegevens)], waarin is bepaald dat „[h]et recht van inzage dat de betrokkene krachtens artikel 15 van de algemene verordening gegevensbescherming (AVG) heeft jegens een verwerkingsverantwoordelijke, [...] onverminderd andere wettelijke beperkingen in de regel niet [bestaat] wanneer het verstrekken van de betreffende informatie afbreuk zou doen aan een bedrijfsgeheim van de verwerkingsverantwoordelijke of een derde”, verenigbaar met artikel 15, lid 1, juncto artikel 22, lid 3, van die verordening? Zo ja, onder welke voorwaarden is dat het geval?
____________
1 Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (PB 2016, L 119, blz. 1).
1 Richtlijn (EU) 2016/943 van 8 juni 2016 betreffende de bescherming van niet-openbaar gemaakte knowhow en bedrijfsinformatie (bedrijfsgeheimen) tegen het onrechtmatig verkrijgen, gebruiken en openbaar maken daarvan (PB 2016, L 157, blz. 1).