Petición de decisión prejudicial planteada por el Verwaltungsgericht Wien (Austria) el 16 de marzo de 2022 — CK

(Asunto C-203/22)

Lengua de procedimiento: alemán

Órgano jurisdiccional remitente

Verwaltungsgericht Wien

Partes en el procedimiento principal

Demandante: CK

Otras partes: Dun & Bradstreet Austria GmbH, Magistrat der Stadt Wien

Cuestiones prejudiciales

1)    ¿Qué requisitos de contenido ha de satisfacer la información facilitada para que se considere suficientemente «significativa» en el sentido del artículo 15, apartado 1, letra h), del Reglamento general de protección de datos (en lo sucesivo, «RGPD»)? ¹

En caso de elaboración de perfiles por el responsable del tratamiento, cuando se informa sobre la «lógica aplicada», ¿debe facilitarse también, en principio (respetando, en su caso, el secreto comercial), la información que en el caso concreto permita comprender el resultado de la decisión automatizada, en particular: 1) la comunicación de los datos del interesado que son objeto del tratamiento; 2) la comunicación de las partes del algoritmo utilizado en la elaboración de perfiles que sean necesarias para la coherencia, y 3) la información relevante para establecer la relación entre los datos objeto del tratamiento y la valoración realizada?

En caso de elaboración de perfiles, ¿debe facilitarse al titular del derecho de acceso contemplado en el artículo 15, apartado 1, letra h), del RGPD, incluso en caso de objetarse la existencia de un secreto comercial, al menos, la siguiente información sobre el tratamiento concreto que le afecte, para que pueda ejercer sus derechos reconocidos por el artículo 22, apartado 3, del RGPD:

a)    transmisión de toda la información, anonimizada si es preciso, en particular sobre la forma del tratamiento de los datos del interesado, que permita verificar la observancia del RGPD;

b)    facilitación de los datos utilizados en la elaboración de perfiles;

c)    los parámetros y variables de entrada utilizados para efectuar la valoración;

d)    la influencia de estos parámetros y variables de entrada en la valoración obtenida;

e)    información sobre la obtención de los parámetros o variables de entrada;

f)    la explicación de por qué se ha atribuido al titular del derecho de acceso contemplado en el artículo 15, apartado 1, letra h), del RGPD un determinado resultado de la valoración, y aclaración del juicio que lleva aparejado dicha valoración;

g)    enumeración de las categorías de perfil y explicación de las afirmaciones valorativas asociadas a cada categoría de perfil?

2)    ¿Está relacionado el derecho de acceso que reconoce el artículo 15, apartado 1, letra h), del RGPD con los derechos que garantiza el artículo 22, apartado 3, del RGPD, a expresar el propio punto de vista y a impugnar la decisión automatizada a que se refiere el mismo artículo 22 del RGPD, en la medida en que la amplitud de la información que se ha de facilitar ante una solicitud presentada con arreglo al artículo 15, apartado 1, letra h), del RGPD solo es suficientemente «significativa» si permite al solicitante de la información e interesado en el sentido de esta disposición ejercer de forma efectiva, exhaustiva y con posibilidades de éxito los derechos que le reconoce el artículo 22, apartado 3, del RGPD a expresar su punto de vista y a impugnar la decisión automatizada a que se refiere el mismo artículo 22 del RGPD?

3    a) ¿Debe interpretarse el artículo 15, apartado 1, letra h), del RGPD en el sentido de que solo cabe hablar de una «información significativa» a efectos de dicha disposición cuando la información es lo suficientemente amplia como para que el titular del derecho de acceso que allí se contempla pueda conocer si esta información facilitada se corresponde también con los hechos, es decir, si la decisión automatizada objeto de la consulta se basa efectivamente en la información facilitada?

b) En caso de respuesta afirmativa: ¿Cómo se ha de proceder si la veracidad de la información facilitada por un responsable del tratamiento solo se puede verificar si se permite al titular del derecho de acceso contemplado en el artículo 15, apartado 1, letra h), del RGPD conocer también los datos de terceros protegidos por el RGPD («caja negra»)?

¿Es posible resolver esta tensión entre el derecho de acceso contemplado en el artículo 15, apartado 1, letra h), del RGPD y el derecho de protección de datos de terceros revelando exclusivamente a la autoridad administrativa o judicial los datos de terceros que sean necesarios para verificar la veracidad y que se hayan sometido a la misma elaboración de perfiles, de manera que dicha autoridad administrativa o judicial haya de comprobar por sí misma si los datos facilitados de esos terceros se corresponden con los hechos?

c) En caso de respuesta afirmativa: ¿Qué derechos se han de reconocer, en todo caso, al titular del derecho de acceso contemplado en el artículo 15, apartado 1, letra h), del RGPD cuando se haya de garantizar la protección de los derechos de otros en el sentido del artículo 15, apartado 4, del RGPD mediante la creación de la «caja negra» mencionada en la cuestión 3b?

¿Deben facilitarse en ese caso al titular del derecho de acceso contemplado en el artículo 15, apartado 1, letra h), del RGPD, al menos, los datos de otras personas de forma anonimizada que sean necesarios para verificar la corrección de la toma de decisiones por el responsable del tratamiento con arreglo al artículo 15, apartado 1, del RGPD?

4    a) ¿Cómo se ha de proceder cuando la información que se debe facilitar con arreglo al artículo 15, apartado 1, letra h), del RGPD también cumple los requisitos de un secreto comercial a efectos del artículo 2, punto 1, de la Directiva 2016/943? ¹

¿Es posible resolver la tensión entre el derecho de acceso contemplado en el artículo 15, apartado 1, letra h), del RGPD y el derecho a que no sea revelado un secreto comercial, garantizado por la Directiva 2016/943, revelando exclusivamente a la autoridad administrativa o judicial la información considerada secreto comercial con arreglo al artículo 2, punto 1, de la Directiva 2016/943, de manera que dicha autoridad administrativa o judicial haya de comprobar por sí misma si efectivamente se trata de un secreto comercial a efectos del artículo 2, punto 1, de la Directiva 2016/943 y si la información facilitada por el responsable del tratamiento en virtud del artículo 15, apartado 1, letra h), del RGPD se corresponde con los hechos?

b) En caso de respuesta afirmativa: ¿Qué derechos se han de reconocer, en todo caso, al titular del derecho de acceso contemplado en el artículo 15, apartado 1, letra h), del RGPD cuando se haya de garantizar la protección de los derechos de otros en el sentido del artículo 15, apartado 4, del RGPD mediante la creación de la «caja negra» mencionada en la cuestión 4a?

(También) cuando se lleva a cabo tal segregación de la información que se ha de facilitar a la autoridad administrativa o judicial y la que se debe transmitir al titular del derecho de acceso contemplado en el artículo 15, apartado 1, letra h), del RGPD en caso de elaboración de perfiles, ¿debe facilitársele a este, al menos, la siguiente información sobre el tratamiento concreto que le afecte, para que pueda ejercer sus derechos reconocidos por el artículo 22, apartado 3, del RGPD:

a)    transmisión de toda la información, anonimizada si es preciso, en particular sobre la forma del tratamiento de los datos del interesado, que permita verificar la observancia del RGPD;

b)    facilitación de los datos utilizados en la elaboración de perfiles;

c)    los parámetros y variables de entrada utilizados en la consulta de valoración;

d)    la influencia de estos parámetros y variables de entrada en la valoración obtenida;

e)    información sobre la obtención de los parámetros o variables de entrada;

f)    la explicación de por qué se ha atribuido al titular del derecho de acceso contemplado en el artículo 15, apartado 1, letra h), del RGPD un determinado resultado de la valoración, y aclaración de la afirmación asociada a dicha valoración;

g)    enumeración de las categorías de perfil y explicación de las afirmaciones valorativas asociadas a cada categoría de perfil?

5)    ¿Limita de alguna manera el artículo 15, apartado 4, del RGPD la amplitud de la información que se ha de facilitar en virtud del artículo 15, apartado 1, letra h), del RGPD?

En caso de respuesta afirmativa, ¿en qué sentido limita el artículo 15, apartado 4, del RGPD dicho derecho de acceso, y cómo se ha de determinar en cada caso el alcance de la limitación?

6)    ¿Es compatible con las exigencias del artículo 15, apartado 1, en relación con el artículo 22, apartado 3, del RGPD el artículo 4, apartado 6, de la Datenschutzgesetz (Ley de protección de datos), con arreglo al cual «sin perjuicio de otras limitaciones legales, el derecho de acceso que asiste al interesado en virtud del artículo 15 del RGPD frente al responsable del tratamiento decaerá, en principio, cuando la revelación de la información ponga en peligro un secreto comercial del responsable del tratamiento o de terceros»? En caso de respuesta afirmativa, ¿qué condiciones se imponen a tal compatibilidad?

____________

¹ Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (DO 2016, L 119, p. 1).

¹ Directiva (UE) 2016/943 del Parlamento Europeo y del Consejo, de 8 de junio de 2016, relativa a la protección de los conocimientos técnicos y la información empresarial no divulgados (secretos comerciales) contra su obtención, utilización y revelación ilícitas (DO 2016, L 157, p. 1).