Arrêt de la Cour (première chambre) du 27 février 2025 (demande de décision préjudicielle du Verwaltungsgericht Wien - Autriche) – CK / Magistrat der Stadt Wien

(Affaire C-203/22¹ , Dun & Bradstreet Austria)

(Renvoi préjudiciel – Protection des données à caractère personnel – Règlement (UE) 2016/679 – Article 15, paragraphe 1, sous h) – Prise de décision automatisée, y compris un profilage – “Scoring” – Appréciation de la solvabilité d’une personne physique – Accès aux informations utiles concernant la logique sous-jacente au profilage – Vérification de l’exactitude des informations fournies – Directive (UE) 2016/943 – Article 2, point 1 – Secret d’affaires – Données à caractère personnel de tiers)

Langue de procédure: l’allemand

Juridiction de renvoi

Verwaltungsgericht Wien

Parties à la procédure au principal

Partie requérante : CK

Partie défenderesse : Magistrat der Stadt Wien

en présence de : Dun & Bradstreet Austria GmbH

Dispositif

L’article 15, paragraphe 1, sous h), du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),

doit être interprété en ce sens que :

en cas de prise de décision automatisée, y compris un profilage, au sens de l’article 22, paragraphe 1, de ce règlement, la personne concernée peut exiger du responsable du traitement, au titre des « informations utiles concernant la logique sous-jacente », que celui-ci lui explique, au moyen d’informations pertinentes et d’une façon concise, transparente, compréhensible et aisément accessible, la procédure et les principes concrètement appliqués pour exploiter, par la voie automatisée, les données à caractère personnel relatives à cette personne aux fins d’en obtenir un résultat déterminé, tel un profil de solvabilité.

L’article 15, paragraphe 1, sous h), du règlement 2016/679

doit être interprété en ce sens que :

dans l’hypothèse où le responsable du traitement considère que les informations à fournir à la personne concernée conformément à cette disposition comportent des données de tiers protégées par ce règlement ou des secrets d’affaires, au sens de l’article 2, point 1, de la directive (UE) 2016/943 du Parlement européen et du Conseil, du 8 juin 2016, sur la protection des savoir-faire et des informations commerciales non divulgués (secrets d’affaires) contre l’obtention, l’utilisation et la divulgation illicites, ce responsable est tenu de communiquer ces informations prétendument protégées à l’autorité de contrôle ou à la juridiction compétentes, auxquelles il incombe de pondérer les droits et les intérêts en cause aux fins de déterminer l’étendue du droit d’accès de la personne concernée prévu à l’article 15 de ce règlement.

____________

¹ JO C 222 du 07.06.2022.