Ennakkoratkaisupyyntö, jonka Verwaltungsgericht Wien (Itävalta) on esittänyt 16.3.2022 – CK
(Asia C-203/22)
Oikeudenkäyntikieli: saksa
Ennakkoratkaisua pyytänyt tuomioistuin
Verwaltungsgericht Wien
Pääasian asianosaiset
Valittaja: CK
Muut osapuolet: Dun & Bradstreet Austria GmbH ja Magistrat der Stadt Wien
Ennakkoratkaisukysymykset
Mitä sisällöllisiä vaatimuksia luovutettujen tietojen on täytettävä, jotta ne voidaan luokitella luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus)1 15 artiklan 1 kohdan h alakohdassa tarkoitetussa merkityksessä riittävän ”merkityksellisiksi”?
Onko – silloin kun on mahdollisesti suojeltava olemassa olevaa liikesalaisuutta – rekisterinpitäjän ilmoitettava tapauksissa, joissa käytetään profilointia, käsittelyyn liittyvää logiikkaa koskevien tietojen lisäksi lähtökohtaisesti myös tiedot, jotka ovat olennaisia automatisoidun päätöksenteon tuloksen ymmärtämiseksi yksittäistapauksessa ja joihin sisältyvät erityisesti 1) rekisteröidyn käsitellyt tiedot, 2) profiloinnin perustana olevan algoritmin osat, jotka ovat välttämättömiä ymmärrettävyyden kannalta, ja 3) asiaankuuluvat tiedot, joiden avulla voidaan todeta yhteys käsiteltyjen tietojen ja suoritetun arvioinnin välillä?
Onko yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan h alakohdassa tarkoitetulle tiedonsaantiin oikeutetulle henkilölle annettava profilointiin perustuvissa tapauksissa seuraavat tiedot häntä koskevasta konkreettisesta käsittelystä, silloinkin kun kyse väitetään olevan liikesalaisuudesta, jotta hänelle yleisen tietosuoja-asetuksen 22 artiklan 3 kohdan mukaisesti kuuluvat oikeudet voidaan turvata:
a) kaikki mahdollisesti pseudonymisoidut tiedot, jotka koskevat erityisesti rekisteröidyn tietojen käsittelytapaa ja joiden avulla voidaan varmistaa, että yleistä tietosuoja-asetusta noudatetaan,
b) profiloinnissa käytetyt syöttötiedot,
c) arvioinnissa käytetyt parametrit ja muuttujat,
d) näiden parametrien ja muuttujien vaikutus saatuun arviointiin,
e) tiedot parametrien tai muuttujien muodostamisesta,
f) selvitys siitä, miksi yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan h alakohdassa tarkoitettu tiedonsaantiin oikeutettu henkilö on saanut tietyn arviointituloksen ja mikä lausunto on liitetty tähän arviointiin,
g) profiiliryhmien luettelo ja selvitys siitä, mikä arviointilausunto liittyy kuhunkin ryhmään?
Onko yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan h alakohdassa annetulla tiedonsaantioikeudella yhteys yleisen tietosuoja-asetuksen 22 artiklan 3 kohdassa taattuun oikeuteen esittää kantansa ja riitauttaa yleisen tietosuoja-asetuksen 22 artiklassa tarkoitettu automatisoitu päätös sikäli kuin yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan h alakohdassa tarkoitetun tietopyynnön perusteella annettavat tiedot ovat riittävän ”merkityksellisiä” vain, jos yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan h alakohdassa tarkoitettu tietoja pyytävä henkilö ja rekisteröity voi käyttää hänelle yleisen tietosuoja-asetuksen 22 artiklan 3 kohdassa taattuja oikeuksia esittää kantansa ja riitauttaa häntä koskeva yleisen tietosuoja-asetuksen 22 artiklassa tarkoitettu automatisoitu päätös tosiasiallisesti, perusteellisesti ja vakuuttavasti?
a) Onko yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan h alakohtaa tulkittava siten, että kyse on kyseisessä säännöksessä tarkoitetuista ”merkityksellistä tiedoista” vain, jos nämä tiedot ovat niin laajoja, että yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan h alakohdassa tarkoitettu tiedonsaantiin oikeutettu henkilö voi todeta, vastaavatko nämä annetut tiedot myös tosiseikkoja eli perustuuko kyseinen pyydetty automatisoitu päätös myös tosiasiallisesti ilmoitettuihin tietoihin?
b) Jos edeltävään kysymykseen vastataan myöntävästi, miten on meneteltävä, jos rekisterinpitäjän antamien tietojen oikeellisuus voidaan varmistaa vain siten, että myös yleisen tietosuoja-asetuksen suojaamat kolmansien osapuolten tiedot on saatettava yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan h alakohdassa tarkoitetun tiedonsaantiin oikeutetun henkilön tietoon (musta laatikko, Black Box)?
Voidaanko tämä yleisen tietosuoja-asetuksen 15 artiklan 1 kohdassa tarkoitetun tiedonsaantioikeuden ja kolmansien osapuolten tietosuojaoikeuksien välinen jännite ratkaista myös siten, että tietojen paikkansapitävyyden tarkistamista varten tarvittavien kolmansien osapuolten tiedot, joihin on kohdistunut samanlainen profilointi, paljastetaan ainoastaan viranomaiselle tai tuomioistuimelle, jolloin viranomaisen tai tuomioistuimen on tarkistettava itsenäisesti, vastaavatko kyseisten kolmansien osapuolten luovutetut tiedot tosiseikkoja?
c) Jos edeltävään kysymykseen vastataan myöntävästi, mitä oikeuksia on annettava yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan h alakohdassa tarkoitetuille tiedonsaantiin oikeutetuille henkilöille silloin, kun yleisen tietosuoja-asetuksen 15 artiklan 4 kohdassa tarkoitettujen muiden osapuolten oikeuksien suoja on kuitenkin varmistettava ottamalla käyttöön edellä 3b kohdassa tarkoitettu musta laatikko?
Onko yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan h alakohdassa tarkoitetulle tiedonsaantiin oikeutetulle henkilölle annettava tällöin kuitenkin pseudoanonymisoidussa muodossa muiden henkilöiden tiedot, jotka ovat tarpeen yleisen tietosuoja-asetuksen 15 artiklan 1 kohdassa tarkoitetun rekisterinpitäjän päätöksenteon oikeellisuuden tarkistamiseksi?
a) Miten on meneteltävä, jos yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan h alakohdassa tarkoitetut toimitettavat tiedot täyttävät myös julkistamattoman taitotiedon ja liiketoimintatiedon (liikesalaisuuksien) suojaamisesta laittomalta hankinnalta, käytöltä ja ilmaisemiselta 8.6.2016 annetun direktiivin (EU) 2016/943 ([EUVL 2016,] L 157, s. 1; jäljempänä liikesalaisuusdirektiivi) 2 artiklan 1 alakohdassa tarkoitetun liikesalaisuuden1 vaatimukset?
Voidaanko yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan h alakohdassa taatun tiedonsaantioikeuden ja liikesalaisuusdirektiivillä suojatun liikesalaisuuden salassapitoa koskevan oikeuden välinen jännite ratkaista siten, että liikesalaisuusdirektiivin 2 artiklan 1 alakohdassa tarkoitetuksi liikesalaisuudeksi luokiteltavat tiedot paljastetaan ainoastaan viranomaiselle tai tuomioistuimelle, jolloin viranomaisen tai tuomioistuimen on arvioitava itsenäisesti, onko katsottava, että kyse liikesalaisuusdirektiivin 2 artiklan 1 alakohdassa tarkoitetusta liikesalaisuudesta, ja vastaavatko yleisen tietosuoja-asetuksen 15 artiklan 1 kohdassa tarkoitetut rekisterinpitäjän antamat tiedot tosiseikkoja?
b) Jos edeltävään kysymykseen vastataan myöntävästi, mitä oikeuksia on annettava yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan h alakohdassa tarkoitetuille tiedonsaantiin oikeutetuille henkilöille silloin, kun yleisen tietosuoja-asetuksen 15 artiklan 4 kohdassa tarkoitettujen muiden osapuolten oikeuksien suoja on varmistettava ottamalla käyttöön edellä 4a kohdassa tarkoitettu musta laatikko?
Jos viranomaiselle tai tuomioistuimelle ilmoitettavat tiedot ja yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan h alakohdassa tarkoitetulle tiedonsaantiin oikeutetulle henkilölle ilmoitettavat tiedot eivät ole samat, onko tapauksissa, joihin kohdistuu profilointia, yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan h alakohdassa tarkoitetulle tiedonsaantiin oikeutetulle henkilölle annettava kuitenkin myös seuraavat tiedot häntä koskevasta konkreettisesta käsittelystä, jotta hänelle yleisen tietosuoja-asetuksen 22 artiklan 3 kohdan mukaisesti kuuluvat oikeudet voidaan turvata kaikilta osin:
a) kaikki mahdollisesti pseudonymisoidut tiedot, jotka koskevat erityisesti rekisteröidyn tietojen käsittelytapaa ja joiden avulla voidaan varmistaa, että yleistä tietosuoja-asetusta noudatetaan,
b) profiloinnissa käytetyt syöttötiedot,
c) arvioinnissa käytetyt parametrit ja muuttujat,
d) näiden parametrien ja muuttujien vaikutus saatuun arviointiin,
e) tiedot parametrien tai muuttujien muodostamisesta,
f) selvitys siitä, miksi yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan h alakohdassa tarkoitettu tiedonsaantiin oikeutettu henkilö on saanut tietyn arviointituloksen ja mikä lausunto on liitetty tähän arviointiin,
g) profiiliryhmien luettelo ja selvitys siitä, mikä arviointilausunto liittyy kuhunkin ryhmään?
Rajoitetaanko yleisen tietosuoja-asetuksen 15 artiklan 4 kohdan säännöksellä jollain tavalla yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan h alakohdan nojalla annettavien tietojen laajuutta?
Jos vastaus on myöntävä, millä tavoin tätä tiedonsaantioikeutta rajoitetaan yleisen tietosuoja-asetuksen 15 artiklan 4 kohdalla ja miten rajoituksen laajuus on määriteltävä kussakin tapauksessa?
Onko [Itävallan] tietosuojalain (Datenschutzgesetz) 4 §:n 6 momentti, jonka mukaan rekisteröidyllä ei yleensä ole rekisterinpitäjään nähden yleisen tietosuoja-asetuksen 15 artiklan mukaista oikeutta saada tutustua tietoihin, sanotun kuitenkaan rajoittamatta muiden oikeudellisten rajoitusten soveltamista, jos tietojen antaminen johtaisi rekisterinpitäjän tai kolmannen liike- tai ammattisalaisuuden vaarantumiseen, yhteensopiva yleisen tietosuoja-asetuksen 15 artiklan 1 kohdassa, luettuna yhdessä kyseisen asetuksen 22 artiklan 3 kohdan kanssa, esitettyjen vaatimusten kanssa? Jos vastaus on myöntävä, millä edellytyksin se on yhteensopiva?
____________
1 Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annettu Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1).
1 Julkistamattoman taitotiedon ja liiketoimintatiedon (liikesalaisuuksien) suojaamisesta laittomalta hankinnalta, käytöltä ja ilmaisemiselta 8.6.2016 annetun Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/943 (EUVL 2016, L 157, s. 1).