Zahtjev za prethodnu odluku koji je 16. ožujka 2022. uputio Verwaltungsgerichts Wien (Austrija) – CK
(predmet C-203/22)
Jezik postupka: njemački
Sud koji je uputio zahtjev
Verwaltungsgericht Wien
Stranke glavnog postupka
Žalitelj: CK
Tuženici: Dun & Bradstreet Austria GmbH, Magistrat der Stadt Wien
Prethodna pitanja
Koje sadržajne zahtjeve treba ispunjavati omogućeni pristup kako bi se smatrao dovoljno „smislenim” u smislu članka 15. stavka 1. točke (h) Opće uredbe o zaštiti podataka1 ?
Treba li voditelj obrade, eventualno uz poštovanje postojeće industrijske tajne, u slučaju izrade profila u okviru davanja pristupa „logici o kojoj je riječ” u načelu priopćiti i informacije koje su bitne u pojedinačnom slučaju za omogućavanje razumljivosti rezultata automatiziranog donošenja odluka, što osobito uključuje 1. priopćavanje ispitanikovih obrađenih podataka, 2. priopćavanje dijelova algoritma na kojem se temelji izrada profila potrebnih za omogućavanje razumljivosti i 3. relevantne informacije za utvrđivanje veze između obrađene informacije i obavljenog vrednovanja?
Treba li u slučajevima koji se odnose na izradu profila osobi koja ima pravo na pristup u smislu članka 15. stavka 1. točke (h) Opće uredbe o zaštiti podataka i u slučaju prigovora da je riječ o industrijskoj tajni svakako priopćiti sljedeće informacije o konkretnoj obradi koja se na nju odnosi kako bi joj se omogućila zaštita prava iz članka 22. stavka 3. Opće uredbe o zaštiti podataka:
(a) dostavljanje svih eventualno pseudonimiziranih informacija, a osobito informacija o načinu obrade ispitanikovih podataka, koje omogućuju provjeru poštovanja Opće uredbe o zaštiti podataka;
(b) stavljanje na raspolaganje ulaznih podataka upotrijebljenih za izradu profila;
(c) parametre i ulazne varijable koji su primijenjeni prilikom utvrđivanja ocjene;
(d) utjecaj tih parametara i ulaznih varijabli na izračunanu ocjenu;
(e) informacije o nastanku parametara odnosno ulaznih varijabli;
(f) pojašnjenje zašto je osobi koja ima pravo na pristup u smislu članka 15.stavka 1. točke (h) Opće uredbe o zaštiti podataka dodijeljen određen rezultat ocjene i prikaz izjave s kojom je ta ocjena povezana;
(g) popis kategorija profila i pojašnjenje koja je izjava o ocjeni povezana sa svakom kategorijom profila?
Je li pravo na pristup priznato člankom 15. stavkom 1. točkom (h) Opće uredbe o zaštiti podataka povezano s pravima izražavanja vlastitog stajališta i osporavanja donesene automatizirane odluke u smislu članka 22. Opće uredbe o zaštiti podataka koja su zajamčena člankom 22. stavkom 3. Opće uredbe o zaštiti podataka u dijelu u kojem je opseg informacija koje treba pružiti na temelju zahtjeva za pristup u smislu članka 15. stavka 1. točke (h) Opće uredbe o zaštiti podataka dovoljno „smislen” samo ako se ispitaniku koji podnosi zahtjev za pristup u smislu članka 15. stavka 1. točke (h) Opće uredbe o zaštiti podataka omogući da stvarno, potpuno i na obećavajući način ostvari prava izražavanja vlastitog stajališta i osporavanja automatizirane odluke u smislu članka 22. Opće uredbe o zaštiti podataka koja se na njega odnosi, što su prava koja su zajamčena člankom 22. stavkom 3. Opće uredbe o zaštiti podataka?
(a) Treba li članak 15. stavak 1. točku (h) Opće uredbe o zaštiti podataka tumačiti na način da se informacija može smatrati „smislenom” u smislu te odredbe samo ako je ta informacija toliko opsežna da osoba koja ima pravo na pristup u smislu članka 15. stavka 1. točke (h) Opće uredbe o zaštiti podataka može utvrditi odgovara li ta pružena informacija i činjenicama, odnosno je li se konkretno zatraženo donošenje automatizirane odluke doista temeljilo na priopćenim informacijama?
(b) U slučaju potvrdnog odgovora: kako treba postupiti ako se točnost informacija koje je pružio voditelj obrade može provjeriti samo tako da se osobi koja ima pravo na pristup u smislu članka 15. stavka 1. točke (h) Opće uredbe o zaštiti podataka moraju priopćiti i podaci trećih strana zaštićeni Općom uredbom o zaštiti podataka (crna kutija (black box))?
Može li se ta neusklađenost između prava na pristup u smislu članka 15. stavka 1. Opće uredbe o zaštiti podataka i prava trećih strana na zaštitu podataka riješiti i na način da se podaci trećih strana potrebni za provjeru točnosti, koji se također podvrgavaju istoj izradi profila, otkriju isključivo tijelu ili sudu tako da tijelo ili sud samostalno provjerava odgovaraju li priopćeni podaci tih trećih strana činjenicama?
(c) U slučaju potvrdnog odgovora: koja prava u svakom slučaju treba omogućiti osobi koja ima pravo na pristup u smislu članka 15. stavka 1. točke (h) Opće uredbe o zaštiti podataka stvaranjem crne kutije navedene u točki 3.b ako postoji obveza osiguravanja zaštite prava drugih u smislu članka 15. stavka 4. Opće uredbe o zaštiti podataka?
Treba li osobi koja ima pravo na pristup u smislu članka 15. stavka 1. točke (h) Opće uredbe o zaštiti podataka u tom slučaju svakako priopćiti pseudonimizirane podatke drugih osoba koje voditelj obrade u smislu članka 15. stavka 1. Opće uredbe o zaštiti podataka mora priopćiti kako bi se omogućila provjera točnosti donesenih odluka?
(a) Kako treba postupiti ako informacija koju treba pružiti u smislu članka 15. stavka 1. točke (h) Opće uredbe o zaštiti podataka ispunjava i zahtjeve poslovne tajne u smislu članka 2. točke 1. Direktive o znanjima i iskustvima1 ?
Može li se neusklađenost između prava na pristup zajamčenog člankom 15. stavkom 1. točkom (h) Opće uredbe o zaštiti podataka i prava neotkrivanja poslovne tajne zaštićenog Direktivom o znanjima i iskustvima riješiti na način da se informacije koje treba smatrati poslovnom tajnom u smislu članka 2. točke 1. Direktive o znanjima i iskustvima otkriju isključivo tijelu ili sudu tako da tijelo ili sud samostalno provjerava treba li pretpostaviti da je riječ o poslovnoj tajni u smislu članka 2. točke 1. Direktive o znanjima i iskustvima i odgovara li činjenicama informacija koju je pružio voditelj obrade u smislu članka 15. stavka 1. Opće uredbe o zaštiti podataka?
(b) U slučaju potvrdnog odgovora: koja prava u svakom slučaju treba omogućiti osobi koja ima pravo na pristup u smislu članka 15. stavka 1. točke (h) Opće uredbe o zaštiti podataka stvaranjem crne kutije navedene u točki 4.a ako postoji obveza osiguravanja zaštite prava drugih u smislu članka 15. stavka 4. Opće uredbe o zaštiti podataka?
Treba li (i) u tom slučaju neusklađenosti između informacija koje treba priopćiti tijelu odnosno sudu i informacija koje treba priopćiti osobi koja ima pravo na pristup u smislu članka 15. stavka 1. točke (h) Opće uredbe o zaštiti podataka u slučajevima koji se odnose na izradu profila osobi koja ima pravo na pristup u smislu članka 15. stavka 1. točke (h) Opće uredbe o zaštiti podataka u svakom slučaju priopćiti sljedeće informacije o konkretnoj obradi koja se na nju odnosi kako bi joj se omogućila potpuna zaštita prava iz članka 22. stavka 3. Opće uredbe o zaštiti podataka:
(a) dostavljanje svih eventualno pseudonimiziranih informacija, a posebno informacija o načinu obrade ispitanikovih podataka, koje omogućuju provjeru poštovanja Opće uredbe o zaštiti podataka;
(b) stavljanje na raspolaganje ulaznih podataka upotrijebljenih za izradu profila;
(c) parametre i ulazne varijable koji su primijenjeni prilikom utvrđivanja ocjene;
(d) utjecaj tih parametara i ulaznih varijabli na izračunanu ocjenu;
(e) informacije o nastanku parametara odnosno ulaznih varijabli;
(f) pojašnjenje zašto je osobi koja ima pravo na pristup u smislu članka 15. stavka 1. točke (h) Opće uredbe o zaštiti podataka dodijeljen određen rezultat ocjene i prikaz izjave s kojom je ta ocjena povezana;
(g) popis kategorija profila i pojašnjenje koja je izjava o ocjeni povezana sa svakom kategorijom profila?
Ograničava li se na ikoji način odredbom članka 15. stavka 4. Opće uredbe o zaštiti podataka opseg pristupa koji treba omogućiti u skladu s člankom 15. stavkom 1. točkom (h) Opće uredbe o zaštiti podataka?
U slučaju potvrdnog odgovora, kako se to pravo na pristup ograničava člankom 15. stavkom 4. Opće uredbe o zaštiti podataka i kako se u određenom slučaju može utvrditi opseg tog ograničenja?
Je li odredba članka 4. stavka 6. Datenschutzgesetza (Zakon o zaštiti podataka), na temelju koje „ispitanik u skladu s člankom 15. Opće uredbe o zaštiti podataka, ne dovodeći u pitanje druga zakonska ograničenja, u pravilu ne može ostvariti pravo na pristup od voditelja obrade ako bi se omogućavanjem tog pristupa ugrozila poslovna ili industrijska tajna voditelja obrade odnosno trećih strana”, u skladu sa zahtjevima članka 15. stavka 1. u vezi s člankom 22. stavkom 3. Opće uredbe o zaštiti podataka? U slučaju potvrdnog odgovora, pod kojim je uvjetima riječ o takvoj usklađenosti?
____________
1 Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.)
1 Direktiva (EU) 2016/943 od 8. lipnja 2016. o zaštiti neotkrivenih znanja i iskustva te poslovnih informacija (poslovne tajne) od nezakonitog pribavljanja, korištenja i otkrivanja (SL 2016., L 157, str. 1.)