Cerere de decizie preliminară introdusă de Verwaltungsgericht Wien (Austria) la 16 martie 2022 – CK
(Cauza C-203/22)
Limba de procedură: germana
Instanța de trimitere
Verwaltungsgericht Wien
Părțile din procedura principală
Recurentă: CK
Celelalte părți la procedură: Dun & Bradstreet Austria GmbH, Magistrat der Stadt Wien
Întrebările preliminare
Care sunt cerințele de fond pe care trebuie să le îndeplinească informațiile furnizate pentru a fi calificate drept suficient de „pertinente” în sensul articolului 15 alineatul (1) litera (h) din Regulamentul general privind protecția datelor (denumit în continuare „RGPD”)1 ?
În cazul unei creări de profiluri, în cadrul furnizării de informații cu privire la „logica utilizată”, operatorul trebuie, în principiu, să divulge – respectând, în orice caz, un secret profesional existent – inclusiv informațiile esențiale pentru a permite trasabilitatea rezultatului deciziei automatizate în cazul concret, care includ, în special: 1) divulgarea datelor prelucrate ale persoanei vizate; 2) divulgarea părților algoritmului pe care este bazată crearea profilului, care sunt necesare pentru a permite trasabilitatea și 3) informațiile relevante pentru stabilirea legăturii dintre informațiile prelucrate și evaluarea efectuată?
În cazurile care au ca obiect o creare de profiluri, pentru a-i permite să își protejeze drepturile care îi revin în temeiul articolului 22 alineatul (3) din RGPD, titularul dreptului de acces în sensul articolului 15 alineatul (1) litera (h) din RGPD trebuie să primească – inclusiv în cazul obiecției întemeiate pe secretul profesional – următoarele informații cu privire la prelucrarea concretă care îl privește:
a) comunicarea tuturor informațiilor, eventual într-o formă pseudonimizată, în special cu privire la modalitatea prelucrării datelor persoanei vizate, care permite verificarea conformității cu RGPD;
b) punerea la dispoziție a datelor de intrare utilizate pentru crearea profilului;
c) parametrii și variabilele de intrare utilizate în determinarea evaluării;
d) influența acestor parametri și variabile de intrare asupra evaluării calculate;
e) informații privind definirea parametrilor, respectiv a variabilelor de intrare;
f) explicarea motivului pentru care titularului dreptului de acces în sensul articolului 15 alineatul (1) litera (h) din RGPD i-a fost atribuit un anumit rezultat al evaluării și prezentarea declarației care a fost asociată cu această evaluare;
g) enumerarea categoriilor de profiluri și furnizarea de explicații cu privire la declarația de evaluare care este asociată fiecăreia dintre categoriile de profiluri?
Dreptul de acces prevăzut la articolul 15 alineatul (1) litera (h) din RGPD este legat de drepturile garantate la articolul 22 alineatul (3) din RGPD de a-și exprima punctul de vedere și de a se opune unui proces decizional automatizat în sensul articolului 22 din RGPD în sensul că întinderea informațiilor furnizate pe baza unei cereri de informații în sensul articolului 15 alineatul (1) litera (h) din RGPD este suficient de „pertinentă” numai atunci când persoanei care solicită informații și persoanei vizate în sensul articolului 15 alineatul (1) litera (h) din RGPD i se dă posibilitatea de a-și exercita în mod efectiv, pe deplin și cu șanse de succes drepturile care îi sunt garantate prin articolul 22 alineatul (3) din RGPD, și anume dreptul de a-și exprima punctul de vedere și dreptul de a se opune unui proces decizional automatizat care o privește, în sensul articolului 22 din RGPD?
a) Articolul 15 alineatul (1) litera (h) din RGPD trebuie interpretat în sensul că trebuie să se considere că există o „informație pertinentă” în sensul acestei dispoziții numai atunci când această informație este atât de amplă încât titularul dreptului de acces, în sensul articolului 15 alineatul (1) litera (h) din RGPD, poate să constate dacă această informație furnizată corespunde într-adevăr faptelor, și anume dacă decizia automatizată solicitată în mod expres s-a bazat efectiv pe informațiile divulgate?
b) În cazul unui răspuns afirmativ: cum trebuie să se procedeze în cazul în care exactitatea informațiilor furnizate de un operator poate fi verificată numai dacă datele unor terți, protejate de RGPD, trebuie, de asemenea, aduse la cunoștința titularului dreptului de acces în sensul articolului 15 alineatul (1) litera (h) din RGPD [cutie neagră (black box)]?
Acest conflict între dreptul de acces în sensul articolului 15 alineatul (1) din RGPD și drepturile terților la protecția datelor poate fi rezolvat, de asemenea, prin dezvăluirea exclusiv autorității sau instanței judecătorești a datelor terților necesare pentru verificarea exactității, care au fost supuse aceleiași creări de profiluri, astfel încât autoritatea sau instanța judecătorească să verifice în mod autonom dacă datele divulgate ale acestor terți corespund faptelor?
c) În cazul unui răspuns afirmativ: care sunt drepturile care trebuie, în orice caz, să fie acordate titularului dreptului de acces, în sensul articolului 15 alineatul (1) litera (h) din RGPD, în cazul cerinței de garantare a protecției drepturilor altor persoane, prevăzută la articolul 15 alineatul (4) din RGPD prin crearea cutiei negre menționate la punctul 3 litera b)?
În acest caz, datele altor persoane care trebuie să fie divulgate de operator pentru a permite verificarea exactității procesului decizional, în sensul articolului 15 alineatul (1) din RGPD, trebuie să fie divulgate titularului dreptului de acces, în sensul articolului 15 alineatul (1) litera (h) din RGPD, în orice caz în formă pseudonimizată?
a) Cum trebuie să se procedeze în cazul în care informațiile care trebuie furnizate în sensul articolului 15 alineatul (1) litera (h) din RGPD îndeplinesc, de asemenea, cerințele unui secret comercial în sensul articolului 2 punctul 1 din Directiva privind know-how-ul1 ?
Conflictul dintre dreptul de acces garantat prin articolul 15 alineatul (1) litera (h) din RGPD și dreptul la nedivulgarea unui secret comercial, protejat prin Directiva privind know-how-ul, poate fi rezolvat prin dezvăluirea exclusiv autorității sau instanței judecătorești a informațiilor clasificate ca secret comercial în sensul articolului 2 punctul 1 din Directiva privind know-how ul , astfel încât autoritatea sau instanța judecătorească să verifice în mod autonom dacă există un secret comercial în sensul articolului 2 punctul 1 din Directiva privind know-how-ul și dacă informațiile furnizate de operator în sensul articolului 15 alineatul (1) din RGPD corespund faptelor?
b) În cazul unui răspuns afirmativ: care sunt drepturile care trebuie, în orice caz, să fie acordate titularului dreptului de acces, în sensul articolului 15 alineatul (1) litera (h) din RGPD, în cazul cerinței de garantare a protecției drepturilor altor persoane, prevăzută la articolul 15 alineatul (4) din RGPD, prin crearea cutiei negre menționate la punctul 4 litera a)?
(Inclusiv) în acest caz de neconcordanță între informațiile care trebuie divulgate autorității sau instanței judecătorești și informațiile care trebuie divulgate titularului dreptului de acces în sensul articolului 15 alineatul (1) litera (h) din RGPD, în cazurile care au ca obiect o creare de profiluri, titularului dreptului de acces în sensul articolului 15 alineatul (1) litera (h) din RGPD trebuie să i se divulge, în orice caz, următoarele informații cu privire la prelucrarea concretă care îl privește, pentru a-i permite pe deplin să își protejeze drepturile care îi revin în temeiul articolului 22 alineatul (3) din RGPD:
a) comunicarea tuturor informațiilor, eventual într-o formă pseudonimizată, în special cu privire la modalitatea prelucrării datelor persoanei vizate, care permite verificarea conformității cu RGPD;
b) punerea la dispoziție a datelor de intrare utilizate pentru crearea profilului;
c) parametrii și variabilele de intrare utilizate în determinarea evaluării;
d) influența acestor parametri și variabile de intrare asupra evaluării calculate;
e) informații privind definirea parametrilor, respectiv a variabilelor de intrare;
f) explicarea motivului pentru care titularului dreptului de acces în sensul articolului 15 alineatul (1) litera (h) din RGPD i-a fost atribuit un anumit rezultat al evaluării și prezentarea declarației care a fost asociată cu această evaluare;
g) enumerarea categoriilor de profiluri și furnizarea de explicații cu privire la declarația de evaluare care este asociată fiecăreia dintre categoriile de profiluri?
5) Dispoziția articolului 15 alineatul (4) din RGPD limitează în vreun fel întinderea informațiilor care trebuie furnizate în temeiul articolului 15 alineatul (1) litera (h) din RGPD?
În cazul unui răspuns afirmativ, în ce mod este limitat acest drept de acces prin articolul 15 alineatul (4) din RGPD și cum se determină întinderea acestei limitări în cazul respectiv?
6) Dispoziția articolului 4 alineatul (6) din Datenschutzgesetz [Legea privind protecția datelor, Austria], potrivit căreia „fără a aduce atingere altor limitări prevăzute de lege, dreptul de acces al persoanei vizate, prevăzut la articolul 15 din RGPD, nu există (în general) față de un operator atunci când, prin furnizarea acestei informații ar fi pus în pericol un secret comercial sau profesional al operatorului sau al unor terți” este compatibilă cu cerințele prevăzute la articolul 15 alineatul (1) coroborat cu articolul 22 alineatul (3) din RGPD? În cazul unui răspuns afirmativ, în ce condiții există o astfel de compatibilitate?
____________
1 Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (JO 2016, L 119, p. 1).
1 Directiva (UE) 2016/943 a Parlamentului European și a Consiliului din 8 iunie 2016 privind protecția know-how-ului și a informațiilor de afaceri nedivulgate (secrete comerciale) împotriva dobândirii, utilizării și divulgării ilegale (JO 2016, L 157, p. 1).