A Verwaltungsgericht Wien (Ausztria) által 2022. március 16-án benyújtott előzetes döntéshozatal iránti kérelem – CK
(C-203/22. sz. ügy)
Az eljárás nyelve: német
A kérdést előterjesztő bíróság
Verwaltungsgericht Wien
Az alapeljárás felei
Felperes: CK
Az eljárásban részt vevő felek: Dun & Bradstreet Austria GmbH, Magistrat der Stadt Wien
Az előzetes döntéshozatalra előterjesztett kérdések
Milyen érdemi követelményeknek kell megfelelniük a hozzáférhetővé tett információknak ahhoz, hogy kellőképpen „érthetőnek” minősüljenek az általános adatvédelmi rendelet1 15. cikke (1) bekezdésének h) pontja értelmében véve?
Az adatkezelőnek profilalkotás esetén, az „alkalmazott logikára” vonatkozó információk hozzáférhetővé tétele keretében – adott esetben valamely fennálló üzemi titok megőrzése mellett – főszabály szerint az automatizált döntés eredménye megértésének lehetővé tétele szempontjából az egyedi ügyben lényeges, különösen a következőket magukban foglaló információkat is közölnie kell-e: 1. az érintett kezelt adatai, 2. a profilalkotás alapjául szolgáló algoritmusnak a megértés lehetővé tételéhez szükséges részei, valamint 3. a kezelt információk és az elvégzett értékelés közötti összefüggés feltárásához szükséges releváns információk?
Olyan esetekben, amelyek tárgyát profilalkotás képezi, üzemi titokra vonatkozó kifogás esetén is közölni kell-e a hozzáférési jognak az általános adatvédelmi rendelet 15. cikke (1) bekezdésének h) pontja értelmében vett jogosultjával legalább az őt érintő konkrét adatkezelésre vonatkozó alábbi információkat annak érdekében, hogy gyakorolhassa az általános adatvédelmi rendelet 22. cikkének (3) bekezdéséből eredő jogait:
minden olyan – adott esetben álnevesített –, különösen az érintett adatai kezelésének módjára vonatkozó információ, amely lehetővé teszi az általános adatvédelmi rendelet tiszteletben tartásának ellenőrzését,
a profilalkotáshoz felhasznált bemeneti adatok rendelkezésre bocsátása,
az értékelés során figyelembe vett paraméterek és bemeneti változók,
e paramétereknek és bemeneti változóknak a kiszámított értékelésre gyakorolt hatása,
a paraméterek, illetve bemeneti változók létrejöttére vonatkozó információk,
annak magyarázata, hogy a hozzáférési jognak az általános adatvédelmi rendelet 15. cikke (1) bekezdésének h) pontja értelmében vett jogosultját miért rendelték egy adott értékelési eredményhez, valamint annak bemutatása, hogy milyen állítást kapcsoltak össze ezzel az értékeléssel,
a profilkategóriák felsorolása és annak magyarázata, hogy milyen értékelési állítást kapcsoltak össze az egyes profilkategóriákkal?
Kapcsolatban áll-e az általános adatvédelmi rendelet 15. cikke (1) bekezdésének h) pontja által biztosított hozzáférési jog az általános adatvédelmi rendelet 22. cikkének (3) bekezdése által biztosított, az álláspont kifejezéséhez és az általános adatvédelmi rendelet 22. cikke értelmében vett automatizált döntéssel szemben kifogás benyújtásához való joggal annyiban, amennyiben az általános adatvédelmi rendelet 15. cikke (1) bekezdésének h) pontja értelmében vett hozzáférés iránti kérelem alapján közlendő információk köre csak akkor minősül kellőképpen „érthetőnek”, ha az általános adatvédelmi rendelet 15. cikke (1) bekezdésének h) pontja értelmében vett hozzáférés-kérelmező és érintett ténylegesen, átfogóan és sikert ígérően gyakorolhatja az általános adatvédelmi rendelet 22. cikkének (3) bekezdése által számára biztosított, az álláspontjának kifejezéséhez és az általános adatvédelmi rendelet 22. cikke értelmében vett, rá vonatkozó automatizált döntéssel szemben kifogás benyújtásához való jogot?
a) Úgy kell-e értelmezni az általános adatvédelmi rendelet 15. cikke (1) bekezdésének h) pontját, hogy csak akkor áll fenn az e rendelkezés értelmében vett „érthető információ”, ha ez az információ annyira széles körű, hogy a hozzáférési jognak az általános adatvédelmi rendelet 15. cikke (1) bekezdésének h) pontja értelmében vett jogosultja meg tudja állapítani, hogy ez a közölt információ a tényeknek is megfelel-e, tehát hogy ténylegesen a közölt információk szolgáltak-e a konkrétan kért automatizált döntés alapjául?
b) Igenlő válasz esetén: hogyan kell eljárni akkor, ha az adatkezelő által közölt információk pontossága csak úgy ellenőrizhető, hogy harmadik feleknek az általános adatvédelmi rendelet által védett adatait is a hozzáférési jognak az általános adatvédelmi rendelet 15. cikke (1) bekezdésének h) pontja értelmében vett jogosultja tudomására kell hozni (black box)?
Úgy is feloldható-e ez az általános adatvédelmi rendelet 15. cikkének (1) bekezdése értelmében vett hozzáférési jog és a harmadik felek adatvédelmi joga között fennálló ellentét, hogy kizárólag a hatósággal vagy a bírósággal közlik a harmadik feleknek az ugyanazon profilalkotáshoz felhasznált, a pontosság ellenőrzéséhez szükséges adatait, és így a hatóságnak vagy a bíróságnak önállóan kell ellenőriznie, hogy e harmadik személyek közölt adatai megfelelnek-e a tényeknek?
c) Igenlő válasz esetén: milyen jogokat kell mindenképpen biztosítani a hozzáférési jognak az általános adatvédelmi rendelet 15. cikke (1) bekezdésének h) pontja értelmében vett jogosultja számára, ha a 3) b) kérdésben említett black box létrehozásával kell biztosítani harmadik feleknek az általános adatvédelmi rendelet 15. cikkének (4) bekezdése értelmében vett jogainak védelmét?
Ebben az esetben a hozzáférési jognak az általános adatvédelmi rendelet 15. cikke (1) bekezdésének h) pontja értelmében vett jogosultjával közölni kell-e legalább álnevesített formában mások olyan adatait, amelyeket az adatkezelőnek az általános adatvédelmi rendelet 15. cikkének (1) bekezdése értelmében a döntéshozatal pontossága ellenőrzésének a lehetővé tételéhez közölnie kell?
a) Hogyan kell eljárni akkor, ha az általános adatvédelmi rendelet 15. cikke (1) bekezdésének h) pontja értelmében vett közlendő információk a know-how-ról szóló irányelv1 2. cikkének 1. pontja értelmében vett üzleti titok követelményeit is kielégítik?
Feloldható-e az általános adatvédelmi rendelet 15. cikke (1) bekezdésének h) pontja által biztosított hozzáférési jog és a know-how-ról szóló irányelv által védett, az üzleti titok fel nem fedéséhez való jog között fennálló ellentét úgy, hogy kizárólag a hatósággal vagy a bírósággal közlik a know-how-ról szóló irányelv 2. cikkének 1. pontja értelmében vett üzleti titoknak minősítendő információkat, és így a hatóságnak vagy a bíróságnak önállóan kell ellenőriznie, hogy a know-how-ról szóló irányelv 2. cikkének 1. pontja értelmében vett üzleti titok áll-e fenn, és hogy az adatkezelő által az általános adatvédelmi rendelet 15. cikkének (1) bekezdése értelmében közölt információ megfelel-e a tényeknek?
b) Igenlő válasz esetén: milyen jogokat kell mindenképpen biztosítani a hozzáférési jognak az általános adatvédelmi rendelet 15. cikke (1) bekezdésének h) pontja értelmében vett jogosultja számára, ha a 4) a) kérdésben említett black box létrehozásával kell biztosítani harmadik feleknek az általános adatvédelmi rendelet 15. cikkének (4) bekezdése értelmében vett jogainak védelmét?
Olyan esetekben, amelyek tárgyát profilalkotás képezi, a hatósággal, illetve a bírósággal közlendő információk és a hozzáférési jognak az általános adatvédelmi rendelet 15. cikke (1) bekezdésének h) pontja értelmében vett jogosultjával közlendő információk közötti eltérés ezen esetében (is) közölni kell-e a hozzáférési jognak az általános adatvédelmi rendelet 15. cikke (1) bekezdésének h) pontja értelmében vett jogosultjával legalább az őt érintő konkrét adatkezelésre vonatkozó alábbi információkat annak érdekében, hogy teljeskörűen gyakorolhassa az általános adatvédelmi rendelet 22. cikkének (3) bekezdéséből eredő jogait:
a) minden olyan – adott esetben álnevesített –, különösen az érintett adatai kezelésének módjára vonatkozó információ, amely lehetővé teszi az általános adatvédelmi rendelet tiszteletben tartásának ellenőrzését,
b) a profilalkotáshoz felhasznált bemeneti adatok rendelkezésre bocsátása,
c) az értékelés során figyelembe vett paraméterek és bemeneti változók,
d) e paramétereknek és bemeneti változóknak a kiszámított értékelésre gyakorolt hatása,
e) a paraméterek, illetve bemeneti változók létrejöttére vonatkozó információk,
f) annak magyarázata, hogy a hozzáférési jognak az általános adatvédelmi rendelet 15. cikke (1) bekezdésének h) pontja értelmében vett jogosultját miért rendelték egy adott értékelési eredményhez, valamint annak bemutatása, hogy milyen állítást kapcsoltak össze ezzel az értékeléssel,
g) a profilkategóriák felsorolása és annak magyarázata, hogy milyen értékelési állítást kapcsoltak össze az egyes profilkategóriákkal?
Bármilyen módon korlátozza-e az általános adatvédelmi rendelet 15. cikkének (4) bekezdésében foglalt rendelkezés az általános adatvédelmi rendelet 15. cikke (1) bekezdésének h) pontja alapján megadandó hozzáférés terjedelmét?
Igenlő válasz esetén, milyen módon korlátozza ezt a hozzáférési jogot az általános adatvédelmi rendelet 15. cikkének (4) bekezdése, és hogyan kell meghatározni az adott esetben a korlátozás e terjedelmét?
Összeegyeztethető-e az általános adatvédelmi rendelet 22. cikkének (3) bekezdésével összefüggésben értelmezett 15. cikkének (1) bekezdésében foglalt rendelkezésekkel a Datenschutzgesetz (az adatvédelemről szóló törvény) 4. §-ának (6) bekezdésében foglalt azon rendelkezés, amely szerint „[a]z érintettnek az általános adatvédelmi rendelet 15. cikke szerinti hozzáférési joga – egyéb jogszabályi korlátozások sérelme nélkül – főszabály szerint nem áll fenn az adatkezelővel szemben akkor, ha e hozzáférés megadása az adatkezelő, illetve harmadik fél üzleti vagy üzemi titkát veszélyeztetné[”]? Igenlő válasz esetén, milyen feltételek mellett áll fenn az ilyen összeegyeztethetőség?
____________
1 A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítés: HL 2016. L 314., 72. o.).
1 A nem nyilvános know‑how és üzleti információk (üzleti titkok) jogosulatlan megszerzésével, hasznosításával és felfedésével szembeni védelemről szóló, 2016. június 8‑i európai parlamenti és tanácsi (EU) 2016/943 irányelv (HL 2016. L 157., 1. o.).