–

za CK: C. Wirthensohn, Rechtsanwalt,

–

za Dun & Bradstreet Austria GmbH: D. Cooper, solicitor, A.-S. Oberschelp de Meneses, avocate, K. Van Quathem a B. Van Vooren, advocaten,

–

za španělskou vládu: A. Ballesteros Panizo, jako zmocněnec,

–

za nizozemskou vládu: M. K. Bulterman a C. S. Schillemans, jako zmocněnkyně,

–

za polskou vládu: B. Majczyna, jako zmocněnec,

–

za Evropskou komisi: A. Bouchagiar, F. Erlbacher a H. Kranenborg, jako zmocněnci,

1

Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 15 odst. 1 písm. h) a článku 22 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“) a dále čl. 2 bodu 1 směrnice Evropského parlamentu a Rady (EU) 2016/943 ze dne 8. června 2016 o ochraně nezveřejněného know-how a obchodních informací (obchodního tajemství) před jejich neoprávněným získáním, využitím a zpřístupněním (Úř. věst. 2016, L 157, s. 1).

2

Tato žádost byla předložena v rámci sporu mezi CK a Magistrat der Stadt Wien (Magistrát města Vídně, Rakousko) ve věci nuceného výkonu soudního rozhodnutí, kterým bylo společnosti Bisnode Austria GmbH, nyní Dun & Bradstreet Austria GmbH (dále jen „D & B“), která se specializuje na hodnocení bonity, uloženo poskytnout CK smysluplné informace týkající se použitého postupu profilování týkajícího se jejích osobních údajů.

3

V bodech 4, 11, 58, 63 a 71 odůvodnění GDPR je uvedeno:

[…]

[…]

[…]

[…]

4

Článek 4 bod 4 tohoto nařízení, nadepsaný „Definice“, stanoví:

„Pro účely tohoto nařízení se rozumí:

[…]

5

Článek 12 uvedeného nařízení, nadepsaný „Transparentní informace, sdělení a postupy pro výkon práv subjektu údajů“, v odstavci 1 stanoví:

„Správce přijme vhodná opatření, aby poskytl subjektu údajů stručným, transparentním, srozumitelným a snadno přístupným způsobem za použití jasných a jednoduchých jazykových prostředků veškeré informace uvedené v článcích 13 a 14 a učinil veškerá sdělení podle článků 15 až 22 a 34 o zpracování, zejména pokud se jedná o informace určené konkrétně dítěti. […]“

6

Článek 13 téhož nařízení, který se týká informací poskytovaných v případě, že osobní údaje jsou získány od subjektu údajů, a jeho článek 14, který se týká informací poskytovaných v případě, že osobní údaje nebyly získány od subjektu údajů, ve svých odst. 2 písm. f) a odst. 2 písm. g) stanoví, že správce je povinen poskytnout subjektu údajů za účelem zajištění mu spravedlivého a transparentního zpracování mj. informaci, „že dochází k automatizovanému rozhodování, včetně profilování, uvedenému v čl. 22 odst. 1 a 4, a přinejmenším v těchto případech smysluplné informace týkající se použitého postupu, jakož i významu a předpokládaných důsledků takového zpracování pro subjekt údajů“.

7

Článek 15 GDPR, nadepsaný „Právo subjektu údajů na přístup“, zní takto:

„1.   Subjekt údajů má právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k těmto osobním údajům a k následujícím informacím:

[…]

[…]

3.   Správce poskytne kopii zpracovávaných osobních údajů. Za další kopie na žádost subjektu údajů může správce účtovat přiměřený poplatek na základě administrativních nákladů. Jestliže subjekt údajů podává žádost v elektronické formě, poskytnou se informace v elektronické formě, která se běžně používá, pokud subjekt údajů nepožádá o jiný způsob.

4.   Právem získat kopii uvedenou [uvedeným] v odstavci 3 nesmějí být nepříznivě dotčena práva a svobody jiných osob.“

8

Článek 22 uvedeného nařízení, nadepsaný „Automatizované individuální rozhodování, včetně profilování“, uvádí:

„1.   Subjekt údajů má právo nebýt předmětem žádného rozhodnutí založeného výhradně na automatizovaném zpracování, včetně profilování, které má pro něho právní účinky nebo se ho obdobným způsobem významně dotýká.

2.   Odstavec 1 se nepoužije, pokud je rozhodnutí:

3.   V případech uvedených v odst. 2 písm. a) a c) provede správce údajů vhodná opatření na ochranu práv a svobod a oprávněných zájmů subjektu údajů, alespoň práva na lidský zásah ze strany správce, práva vyjádřit svůj názor a práva napadnout rozhodnutí.

4.   Rozhodnutí uvedená v odstavci 2 se neopírají o zvláštní kategorie osobních údajů uvedené v čl. 9 odst. 1, pokud se neuplatní čl. 9 odst. 2 písm. a) nebo g) a nejsou zavedena vhodná opatření pro zajištění práv a svobod a oprávněných zájmů subjektu údajů.“

9

Článek 23 nařízení, nadepsaný „Omezení“, zní:

„1.   Právo Unie nebo členského státu, které se na správce nebo zpracovatele vztahuje, může prostřednictvím legislativního opatření omezit rozsah povinností a práv uvedených v článcích 12 až 22 a v článku 34, jakož i v článku 5, v rozsahu, v jakém ustanovení tohoto článku odpovídají právům a povinnostem stanoveným v článcích 12 až 22, jestliže takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit:

[…]

i) ochranu subjektu údajů nebo práv a svobod druhých […]

[…].

2.   Každé legislativní opatření uvedené v odstavci 1 zejména obsahuje konkrétní ustanovení, alespoň, je-li to relevantní, pokud jde o:

10

Článek 54 nařízení, nadepsaný „Pravidla pro zřízení dozorového úřadu“, v odstavci 2 stanoví:

„Člen či členové a pracovníci každého dozorového úřadu jsou, v souladu s právem Unie nebo členského státu, vázáni během funkčního období i po jeho skončení služebním tajemstvím, pokud jde o veškeré důvěrné informace, o nichž se dozvědí během plnění svých úkolů či výkonu svých pravomocí. Během jejich funkčního období se tato povinnost zachovávat služební tajemství vztahuje zejména na ohlášení porušení tohoto nařízení učiněná fyzickými osobami.“

11

Článek 58 GDPR, nadepsaný „Pravomoci“, v odst. 1 písm. e) stanoví:

„Každý dozorový úřad má všechny tyto vyšetřovací pravomoci:

12

Bod 35 odůvodnění směrnice 2016/943 uvádí:

„[…] Touto směrnicí by […] neměly být dotčeny práva a povinnosti stanovené ve směrnici [Evropského parlamentu a Rady] 95/46/ES [ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355)], zejména práva subjektu údajů na přístup k jeho osobním údajům, které jsou předmětem zpracování, a na dosažení opravy, výmazu nebo blokování údajů v případě, že jsou neúplné nebo nepřesné […]“

13

Článek 2 bod 1 uvedené směrnice stanoví:

„Pro účely této směrnice se rozumí:

14

Článek 9 směrnice, nadepsaný „Zachování důvěrnosti obchodního tajemství v průběhu soudního řízení“, stanoví:

„1.   Členské státy zajistí, aby strany soudního řízení, jejich právní zástupci nebo jiní zástupci, soudní úředníci, svědci, znalci a další osoby účastnící se soudního řízení, které se týká neoprávněného získání, využití nebo zpřístupnění obchodního tajemství, nebo mající přístup k dokumentům, jež jsou součástí tohoto řízení, nesměli využít ani zpřístupnit obchodní tajemství či údajné obchodní tajemství, jež bylo příslušnými soudní orgány na základě řádně odůvodněné žádosti strany řízení označeno za důvěrné a o němž se dověděli v důsledku této účasti nebo přístupu. Členské státy mohou rovněž umožnit příslušným soudním orgánům, aby taková opatření přijímaly bez návrhu.

Povinnost uvedená v prvním pododstavci trvá i po skončení soudního řízení. Tato povinnost však zaniká:

2.   Členské státy rovněž zajistí, aby příslušné soudní orgány mohly na základě řádně odůvodněné žádosti některé ze stran řízení přijmout zvláštní opatření, která jsou nezbytná k zachování důvěrnosti jakéhokoli obchodního tajemství nebo údajného obchodního tajemství použitého nebo zmíněného v průběhu soudního řízení, které se týká neoprávněného získání, využití nebo zpřístupnění obchodního tajemství. Členské státy mohou rovněž umožnit příslušným soudním orgánům, aby taková opatření přijímaly bez návrhu.

Opatření uvedená v prvním pododstavci zahrnují alespoň možnost:

Aby bylo zajištěno právo stran soudního řízení na účinnou právní ochranu a spravedlivý proces, nesmí být počet osob podle druhého pododstavce písm. a) a b) vyšší, než je nezbytné, a musí zahrnovat alespoň jednu fyzickou osobu za každou stranu řízení a příslušné právní zástupce nebo jiné zástupce těchto stran.

3.   Příslušné soudní orgány při rozhodování o opatřeních uvedených v odstavci 2 a při posuzování jejich přiměřenosti vezmou v úvahu potřebu zajistit právo na účinnou právní ochranu a spravedlivý proces, oprávněné zájmy účastníků řízení a případně třetích stran a možnou újmu způsobenou některé ze stran řízení a případně třetím stranám schválením takových opatření, nebo jejich zamítnutím.

4.   Osobní údaje podle odstavců 1, 2 nebo 3 jsou zpracovávány v souladu se směrnicí 95/46[…].“

15

Ustanovení § 4 odst. 6 Datenschutzgesetz (zákon o ochraně údajů) ze dne 17. srpna 1999 (BGBl. I, 165/1999) ve znění použitelném na spor v původním řízení (dále jen „DSG“) v zásadě vylučuje přístup subjektu údajů ke svým osobním údajům, stanovený v článku 15 GDPR, pokud by tento přístup ohrozil obchodní nebo průmyslové tajemství správce nebo třetí strany.

16

Mobilní operátor odmítl s CK uzavřít nebo prodloužit smlouvu o poskytování mobilních telefonních služeb, což by obnášelo měsíční platbu ve výši 10 eur, s odůvodněním, že podle automatizovaného posouzení provedeného společností D & B nebyla CK dostatečně finančně bonitní.

17

CK se obrátila na rakouský úřad pro ochranu osobních údajů, který uložil společnosti D & B, aby CK poskytla smysluplné informace týkající se použitého postupu automatizovaného rozhodování založeného na osobních údajích CK.

18

D & B podala proti rozhodnutí úřadu žalobu k Bundesverwaltungsgericht (Spolkový správní soud, Rakousko), v níž v podstatě tvrdila, že z důvodu chráněného obchodního tajemství nemusela CK sdělovat informace nad rámec těch, které jí již byly poskytnuty.

19

Rozhodnutím ze dne 23. října 2019 (dále jen „rozhodnutí ze dne 23. října 2019“) uvedený soud konstatoval, že D & B tím, že neposkytla CK smysluplné informace o postupu použitém při automatizovaném rozhodování založeném na osobních údajích CK, nebo alespoň dostatečně neodůvodnila, proč je nemohla poskytnout, porušila čl. 15 odst. 1 písm. h) GDPR.

20

V uvedeném rozhodnutí Bundesverwaltungsgericht (Spolkový správní soud) zejména uvedl, že D & B neposkytla CK dostatečná vysvětlení, která by jí umožnila pochopit, jakým způsobem byla vypracována prognóza pravděpodobnosti jejího budoucího chování („skóre“), kterou jí uvedená společnost předala s upřesněním, že za účelem získání tohoto „skóre“ byly některé sociodemografické údaje CK „ekvivalentně agregovány“.

21

Rozhodnutí ze dne 23. října 2019 je podle rakouského práva pravomocné a vykonatelné. Návrh na nucený výkon tohoto rozhodnutí, který CK podala k Magistrátu města Vídně, který je orgánem pověřeným jeho výkonem, byl nicméně zamítnut z důvodu, že D & B dostatečně splnila svou informační povinnost, přestože po přijetí uvedeného rozhodnutí neposkytla žádné další informace.

22

CK podala proti rozhodnutí Magistrátu města Vídně žalobu k Verwaltungsgericht Wien (Správní soud ve Vídni, Rakousko), který je předkládajícím soudem, za účelem výkonu rozhodnutí ze dne 23. října 2019.

23

Předkládající soud je toho názoru, že podle rakouského práva je povinen zajistit výkon posledně uvedeného rozhodnutí, což znamená určit konkrétní úkony, které má D & B na jeho základě provést.

24

Vzhledem k tomu, že měl za to, že toto určení může provést pouze znalec s požadovanou kvalifikací, ustanovil takového znalce a ten určil, že D & B je za účelem splnění svých povinností vůči CK povinna poskytnout následující minimální informace:

25

K zajištění možnosti CK ověřit po jejich předání správnost těchto minimálních informací by měla D & B rovněž poskytnout seznam „skóre“ osob (scoring) pro období šesti měsíců předcházejících vypracování „skóre“ CK a šesti měsíců následujících po něm, které byly získány na základě téhož způsobu výpočtu.

26

Podle předkládajícího soudu pouze sdělení minimálních informací specifikovaných uvedeným znalcem umožňuje ověřit konzistentnost a přesnost informací poskytnutých správcem podle čl. 15 odst. 1 písm. h) GDPR.

27

V projednávaném případě několik indicií jasně ukazuje na to, že informace poskytnuté společností D & B neodpovídají skutečnosti. Zatímco informace předané CK, zejména pak dosažené „skóre“, totiž potvrzovaly její velmi dobrou bonitu, skutečné profilování vedlo k závěru, že CK bonitní není, a to ani k platbě částky 10 eur měsíčně na základě smlouvy o mobilních telefonních službách.

28

Předkládající soud má za to, že tedy vyvstává otázka, zda čl. 15 odst. 1 písm. h) GDPR zaručuje subjektu údajů možnost ověřit správnost informací poskytnutých správcem.

29

V případě, že by čl. 15 odst. 1 písm. h) GDPR toto ověření nezaručoval, bylo by právo na přístup k osobním údajům subjektu údajů a k dalším informacím, které je v něm stanoveno, zbaveno veškerého obsahu a stalo se zbytečným, a to tím spíše že každý správce by mohl v tomto případě poskytovat nesprávné informace.

30

Vyvstává rovněž otázka, zda, a případně v jakém rozsahu může výjimka vycházející z existence obchodního tajemství toto právo na přístup zaručené čl. 15 odst. 1 písm. h) GDPR ve spojení s jeho článkem 22 omezit.

31

Ve světle pravidel stanovených v článku 9 směrnice 2016/943 je třeba posoudit, zda je možné informace považované za „obchodní tajemství“ ve smyslu čl. 2 bodu 1 směrnice sdělit pouze orgánu nebo soudu, jimž byla daná věc předložena, aby nezávisle ověřily, zda je třeba mít za to, že takové obchodní tajemství skutečně existuje a zda jsou tyto informace poskytnuté správcem ve smyslu čl. 15 odst. 1 GDPR v souladu s konkrétní realitou.

32

Konečně je třeba zkoumat, zda lze mít za to, že takové ustanovení, jako je § 4 odst. 6 DSG, které v zásadě vylučuje právo subjektu údajů na přístup stanovené v článku 15 GDPR, pokud by tento přístup ohrozil obchodní nebo podnikatelské tajemství správce nebo třetí strany, je v souladu s ustanovením čl. 15 odst. 1 GDPR ve spojení s jeho čl. 22 odst. 3.

33

Za těchto podmínek se Verwaltungsgericht Wien (Správní soud ve Vídni) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:

34

Rozhodnutím ze dne 8. prosince 2022 přerušil předseda Soudního dvora řízení v projednávané věci až do vydání konečného rozhodnutí ve věci C‑634/21, SCHUFA Holding a další (Scoring).

35

V souladu s rozhodnutím předsedy Soudního dvora ze dne 13. prosince 2023 oznámila kancelář Soudního dvora předkládajícímu soudu rozsudek ze dne 7. prosince 2023, SCHUFA Holding a další (Scoring) (C‑634/21, EU:C:2023:957), a vyzvala jej, aby jí sdělil, zda s ohledem na uvedený rozsudek trvá na své žádosti o rozhodnutí o předběžné otázce.

36

Dopisem došlým kanceláři Soudního dvora dne 29. ledna 2024 uvedl předkládající soud, že na své žádosti o rozhodnutí o předběžné otázce trvá, jelikož uvedený rozsudek neumožňuje odpovědět na otázky, které položil v projednávané věci.

37

Rozhodnutím ze dne 14. února 2024 tedy předseda Soudního dvora nařídil pokračování v řízení v projednávané věci.

38

Podstatou první a druhé otázky předkládajícího soudu, jakož i jeho třetí otázky písm. a), které je třeba zkoumat společně, je, zda čl. 15 odst. 1 písm. h) GDPR musí být vykládán v tom smyslu, že v případě automatizovaného rozhodování, včetně profilování, ve smyslu čl. 22 odst. 1 uvedeného nařízení může subjekt údajů od správce jako „smysluplné informace týkající se použitého postupu“ vyžadovat vyčerpávající vysvětlení postupu a zásad použitých v jeho případě k automatizovanému využití jeho osobních údajů za účelem dosažení určitého výsledku, například profilu bonity.

39

Podle ustálené judikatury Soudního dvora je pro výklad ustanovení unijního práva třeba zohlednit nejen jeho znění, ale i jeho kontext a cíle sledované právní úpravou, jejíž je součástí (rozsudek ze dne 4. května 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 19 a citovaná judikatura).

40

Pokud jde nejprve o znění čl. 15 odst. 1 písm. h) GDPR, je třeba uvést, že ekvivalenty pojmu „smysluplné“ informace v tomto ustanovení se v jeho jednotlivých jazykových verzích liší, když některé z nich, obdobně jako francouzská verze (utiles), upřednostňují praktičnost (nuttige v nizozemštině, úteis v portugalštině) nebo relevantnost (pertinente v rumunštině) poskytovaných informací, zatímco jiné zdůrazňují jejich důležitost (significativa ve španělštině a istotne v polštině). Konečně v německém i anglickém znění uvedeného ustanovení lze použitý výraz (ausagekräftig a meaningful) chápat jak jako odkaz na dobrou srozumitelnost uvedených informací stejně jako na jejich určitou kvalitu.

41

Rozdílnost výrazů použitých v různých jazykových verzích přitom musí být chápána ve smyslu komplementarity významů uvedených v předchozím bodě, které je třeba zohlednit při výkladu pojmu „smysluplné informace týkající se použitého postupu“ ve smyslu čl. 15 odst. 1 písm. h) GDPR, jak v podstatě uvedl generální advokát v bodě 65 svého stanoviska.

42

A dále se s ohledem na obecnou formulaci francouzského znění odkaz v uvedeném ustanovení na „výchozí logiku“ (logique sous-jacente) automatizovaného rozhodování, která je předmětem uvedených „užitečných informací“ (informations utiles), může vztahovat na širokou škálu „logik“ využití osobních údajů a jiných údajů pro automatizované dosažení určitého výsledku. Tento výklad je podpořen některými jazykovými verzemi uvedeného ustanovení, které používají výrazy, které doplňkově odkazují na různé aspekty společného chápání pojmu „logika“. Například v českém je použit výraz „postup“ a v polském znění výraz zasady („zásady“).

43

Je tak třeba mít za to, že znění čl. 15 odst. 1 písm. h) GDPR se vztahuje na všechny relevantní informace týkající se postupu a zásad automatizovaného využívání osobních údajů za účelem dosažení určitého výsledku.

44

Pokud jde dále o kontext, do něhož je pojem „smysluplné informace týkající se použitého postupu“, uvedený v čl. 15 odst. 1 písm. h) GDPR, zasazen, je třeba zaprvé zdůraznit, že tyto informace jsou pouze částí informací, kterých se týká právo na přístup stanovené v tomto článku, který se týká rovněž informací o rozsahu a předpokládaných důsledcích dotčeného zpracování pro subjekt údajů.

45

Posledně uvedené informace, které podle pokynů k automatizovanému individuálnímu rozhodování a profilování pro účely nařízení (EU) 2016/679 přijatých dne 3. října 2017 pracovní skupinou zřízenou podle článku 29 směrnice 95/46 v jejich revidované verzi přijaté dne 6. února 2018 musí k tomu, aby byly smysluplné a srozumitelné, být doplněny o „faktické a hmatatelné příklady“, sice nejsou předmětem otázek položených předkládajícím soudem, je však třeba je zohlednit jako součást kontextu, do něhož je pojem „smysluplné informace týkající se použitého postupu“ zasazen.

46

Zadruhé s ohledem na skutečnost, že pojem „smysluplné informace týkající se použitého postupu“ je uveden rovněž v čl. 13 odst. 2 písm. f) a čl. 14 odst. 2 písm. g) GDPR, Soudní dvůr již konstatoval, že v případě automatizovaného rozhodování ve smyslu čl. 22 odst. 1 tohoto nařízení spadá právo na přístup k takovým informacím zakotvené v jeho čl. 15 odst. 1 písm. h) do stejné skupiny jako další informační povinnosti, které jsou správci uloženy na základě prvních dvou uvedených ustanovení [v tomto smyslu viz rozsudek ze dne 7. prosince 2023, SCHUFA Holding a další (Scoring), C‑634/21, EU:C:2023:957, bod 56].

47

Zatřetí, jak v podstatě uvedl generální advokát v bodech 58 až 60 svého stanoviska, v rámci kontextuálního výkladu práv na přístup stanovených pro případ automatizovaného rozhodování je třeba zohlednit judikaturu Soudního dvora týkající se požadavků, které musí splňovat správce podle čl. 15 odst. 3 GDPR.

48

Je tak třeba zohlednit zejména skutečnost, že požadavek transparentnosti předávaných informací stanovený v čl. 12 odst. 1 GDPR se vztahuje na všechny údaje a informace uvedené v daném článku 15, včetně těch, které se týkají automatizovaného rozhodování.

49

S cílem zaručit, aby subjekt údajů mohl plně porozumět informacím, které mu správce poskytuje, ukládá uvedený čl. 12 odst. 1 správci povinnost přijmout vhodná opatření mj. k tomu, aby tyto údaje a informace poskytl uvedenému subjektu stručným, transparentním, srozumitelným a snadno přístupným způsobem za použití jasných a jednoduchých výrazových prostředků (v tomto smyslu viz rozsudek ze dne 4. května 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 38).

50

Výsledek posouzení kontextu, jehož součástí čl. 15 odst. 1 písm. h) GDPR je, tak podporuje výklad, který vyplývá z analýzy znění tohoto ustanovení, podle něhož „smysluplné informace týkající se použitého postupu“ automatizované rozhodování ve smyslu téhož ustanovení tvoří veškeré relevantní informace o postupu a zásadách využívání osobních údajů za účelem automatizovaného dosažení určitého výsledku, přičemž povinnost transparentnosti kromě toho vyžaduje, aby tyto informace byly poskytovány stručným, transparentním, srozumitelným a snadno přístupným způsobem.

51

Co se konečně týče účelů GDPR, je třeba připomenout, že cílem tohoto nařízení je zejména zajistit vysokou úroveň ochrany základních práv a svobod fyzických osob, především jejich práva na ochranu osobních údajů, které je zakotveno v článku 16 SFEU a zaručeno jakožto základní právo v článku 8 Listiny, který doplňuje právo na soukromí zaručené v jejím článku 7 [v tomto smyslu viz rozsudek ze dne 4. října 2024, Schrems (Sdělení údajů široké veřejnosti), C‑446/21, EU:C:2024:834, bod 45 a citovaná judikatura].

52

Jak kromě toho upřesňuje bod 11 jeho odůvodnění, cílem GDPR je posílit a upřesnit práva subjektů údajů (rozsudek ze dne 4. května 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 33 a citovaná judikatura).

53

Pokud jde konkrétně o právo na přístup stanovené v článku 15 GDPR, z judikatury Soudního dvora plyne, že toto právo musí subjektu údajů umožnit, aby se ujistil, že osobní údaje, které se ho týkají, jsou správné a jsou zpracovávány zákonným způsobem [rozsudky ze dne 4. května 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 34, jakož i ze dne 26. října 2023, FT (Kopie zdravotnické dokumentace), C‑307/22, EU:C:2023:811, bod 73].

54

Toto právo na přístup je nezbytné k tomu, aby subjekt údajů mohl případně využít právo na opravu, právo na výmaz („právo být zapomenut“) a právo na omezení zpracování, které mu přiznávají články 16, 17 a 18 GDPR, právo na námitku proti zpracování svých osobních údajů stanovené v článku 21 GDPR, jakož i právo na soudní ochranu a na náhradu újmy, zakotvená v článcích 79 a 82 GDPR (v tomto smyslu viz rozsudek ze dne 4. května 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 35).

55

Zejména ve specifickém kontextu přijímání rozhodnutí založeného výlučně na automatizovaném zpracování je hlavním účelem práva subjektu údajů na získání informací stanovených v čl. 15 odst. 1 písm. h) GDPR umožnit mu účinný výkon práv, která mu přiznává čl. 22 odst. 3 tohoto nařízení, a sice práva vyjádřit se k tomuto rozhodnutí a práva toto rozhodnutí napadnout.

56

Pokud by totiž osoby dotčené automatizovaným rozhodováním, včetně profilování, nebyly schopny pochopit důvody, které vedly k tomuto rozhodnutí, před tím, než vyjádří svůj názor nebo toto rozhodnutí napadnou, nemohla by tato práva plně splnit svůj účel chránit tyto osoby před zvláštními riziky pro jejich práva a svobody, která s sebou nese automatizované zpracování jejich osobních údajů [v tomto smyslu viz rozsudek ze dne 7. prosince 2023, SCHUFA Holding a další (Scoring), C‑634/21, EU:C:2023:957, bod 57].

57

V tomto ohledu z bodu 71 odůvodnění GDPR vyplývá, že pokud je subjekt údajů předmětem rozhodnutí, které je přijato pouze na základě automatizovaného zpracování a které se jej významně dotýká, musí mít tento subjekt právo na vysvětlení tohoto rozhodnutí. Jak uvedl generální advokát v bodě 67 svého stanoviska, je tedy třeba mít za to, že čl. 15 odst. 1 písm. h) GDPR poskytuje subjektu údajů skutečné právo na vysvětlení k fungování mechanismu, na němž je založeno automatizované rozhodování, jehož byla tato osoba předmětem, a k výsledku přijatého rozhodnutí.

58

Ze zkoumání účelů GDPR, a zejména cílů jeho čl. 15 odst. 1 písm. h) vyplývá, že právo získat „smysluplné informace týkající se použitého postupu“ automatizované rozhodování ve smyslu tohoto ustanovení musí být chápáno jako právo na vysvětlení postupu a zásad konkrétně použitých k automatizovanému využití osobních údajů jejich subjektu za účelem dosažení určitého výsledku, například bonitního profilu. Aby subjekt údajů mohl účinně vykonávat práva, která mu přiznává GDPR, a zejména jeho čl. 22 odst. 3, musí k tomuto vysvětlení dojít prostřednictvím relevantních informací poskytnutých stručným, transparentním, srozumitelným a snadno přístupným způsobem.

59

Tyto požadavky nemůže splňovat pouhé předání složitého matematického vzorce typu algoritmu ani podrobný popis všech fází automatizovaného rozhodování, jelikož žádný z těchto způsobů nepředstavuje dostatečně stručné a srozumitelné vysvětlení.

60

Jak totiž plyne ze strany 28 pokynů k automatizovanému individuálnímu rozhodování a profilování pro účely nařízení (EU) 2016/679 zmíněných v bodě 45 tohoto rozsudku, správce by měl najít jednoduché způsoby, jak subjektu údajů sdělit úvahy odůvodňující automatizované rozhodnutí nebo kritéria, o která se opírá. GDPR pak požaduje, aby správce poskytl smysluplné informace týkající se použitého postupu, „přičemž není nutné podávat složitý výklad o použitých algoritmech nebo zveřejnit celý algoritmus“.

61

„Smysluplné informace týkající se použitého postupu“ automatizovaného rozhodování ve smyslu čl. 15 odst. 1 písm. h) GDPR tak musí popisovat konkrétně použitý postup a zásady způsobem, aby z něj subjekt údajů mohl pochopit, které z jeho osobních údajů byly jakou formou použity při dotčeném automatizovaném rozhodování, aniž může složitost operací prováděných v rámci tohoto rozhodování správce zprostit povinnosti poskytnout vysvětlení.

62

Pokud jde konkrétně o takové profilování, jako je profilování dotčené ve věci v původním řízení, předkládající soud by mohl zejména považovat za dostatečně transparentní a srozumitelné informování subjektu údajů o tom, jak velké změny zohledněných osobních údajů by vedly k odlišnému výsledku.

63

Je však třeba ještě upřesnit, že pokud jde o to, zda poskytnuté informace musí subjektu údajů umožnit ověřit správnost jeho osobních údajů, na nichž je založeno automatizované rozhodování, spadá právo na přístup k uvedeným údajům nikoliv pod čl. 15 odst. 1 písm. h) GDPR, ale pod úvodní větu téhož odstavce, která tomuto subjektu zaručuje možnost ujistit se o správnosti těchto údajů, jak vyplývá z judikatury uvedené v bodě 53 tohoto rozsudku.

64

Konečně, co se týče tvrzení předkládajícího soudu, že informace poskytnuté CK společností D & B na základě čl. 15 odst. 1 písm. h) GDPR neodpovídají realitě, jelikož „skutečné“ profilování vedlo k závěru, že není bonitní, zatímco uvedené informace naznačují opak, je třeba uvést, že pokud podle tohoto soudu takto zjištěný nesoulad vyplývá z toho, že D & B neinformovala CK o profilování, kterému byl podroben pro účely mobilního operátora, který na tomto základě s ním odmítl uzavřít nebo prodloužit smlouvu, bylo by třeba tuto situaci napravit prostřednictvím práva na přístup k takto stanovenému profilu bonity. V tomto ohledu z judikatury Soudního dvora vyplývá, že na osobní údaje vytvořené samotným správcem se vztahuje článek 14 GDPR (v tomto smyslu viz rozsudek ze dne 28. listopadu 2024, Másdi, C‑169/23, EU:C:2024:988, bod 48).

65

Naproti tomu vysvětlení rozdílů mezi výsledkem takového „skutečného“ profilování, pokud bychom ho považovali za prokázané, a výsledkem, který D & B předala CK, získaným podle této společnosti „ekvivalentní agregací“ údajů týkajících se CK, by skutečně spadalo pod „smysluplné informace týkající se použitého postupu“ takto provedeného profilování. V souladu s tím, co bylo uvedeno v bodě 58 tohoto rozsudku, je tedy D & B povinna stručně, transparentně, srozumitelně a snadno přístupným způsobem vysvětlit postup a zásady, na jejichž základě byl získán výsledek „skutečného“ profilování.

66

Ze všeho výše uvedeného plyne, že na první, druhou, jakož i třetí otázku písm. a) je třeba odpovědět tak, že čl. 15 odst. 1 písm. h) GDPR musí být vykládán v tom smyslu, že v případě automatizovaného rozhodování, včetně profilování, ve smyslu čl. 22 odst. 1 uvedeného nařízení může subjekt údajů od správce jako „smysluplné informace týkající se použitého postupu“ vyžadovat, aby mu stručným, transparentním, srozumitelným a snadno přístupným způsobem poskytl relevantní informace vysvětlující postup a zásady použité v jeho případě k automatizovanému využití jeho osobních údajů za účelem dosažení určitého výsledku, například profilu bonity.

67

Podstatou třetí otázky písm. b) a c), čtvrté otázky písm. a) a b), jakož i páté a šesté otázky předkládajícího soudu, které je třeba zkoumat společně, je, zda čl. 15 odst. 1 písm. h) GDPR musí být vykládán v tom smyslu, že v případě, že se správce domnívá, že informace, které mají být subjektu údajů poskytnuty podle tohoto ustanovení, obsahují údaje třetích osob chráněné tímto nařízením nebo obchodní tajemství ve smyslu čl. 2 bodu 1 směrnice 2016/943, je povinen sdělit tyto údajně chráněné informace příslušnému dozorovému úřadu nebo soudu, kterým přísluší zvážit dotčená práva a zájmy za účelem určení rozsahu práva subjektu údajů na přístup stanoveného v článku 15 GDPR.

68

V této souvislosti je třeba připomenout, že podle bodu 4 odůvodnění GDPR není právo na ochranu osobních údajů právem absolutním a musí být v souladu se zásadou proporcionality v rovnováze s dalšími základními právy. GDPR tak respektuje všechna základní práva a zachovává svobody a zásady uznané v Listině, které jsou zakotveny ve Smlouvách [rozsudek ze dne 26. října 2023, FT (Kopie zdravotnické dokumentace), C‑307/22, EU:C:2023:811, bod 59 a citovaná judikatura].

69

Mimoto bod 63 odůvodnění tohoto nařízení uvádí, že právem každého subjektu údajů na přístup k shromážděným osobním údajům, které se ho týkají, by neměla být nepříznivě dotčena práva ani svobody ostatních, například obchodní tajemství nebo duševní vlastnictví, a zejména autorské právo chránící programové vybavení.

70

Zohlednění těchto skutečností by ovšem nemělo vést k tomu, že by subjektu údajů bylo odepřeno poskytnutí všech informací. Článek 23 odst. 1 písm. i) uvedeného nařízení tak v podstatě stanoví, že omezení rozsahu povinností a práv uvedených zejména v jeho článku 15 je možné pouze tehdy, jestliže takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit ochranu práv a svobod druhých.

71

Pokud jde o podobné právo na získání kopie zakotvené v čl. 15 odst. 4 GDPR, Soudní dvůr již uvedl, že jeho uplatněním by neměla být nepříznivě dotčena práva ani svobody druhých, například obchodní tajemství nebo duševní vlastnictví, mj. autorské právo chránící programové vybavení (v tomto smyslu viz rozsudek ze dne 4. května 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 43).

72

V této souvislosti Soudní dvůr uvedl, že v případě rozporu mezi výkonem práva na plný a úplný přístup k osobním údajům na straně jedné a právy nebo svobodami jiných osob na straně druhé je třeba dotčená práva a svobody vyvážit. Pokud je to možné, měly by být zvoleny takové způsoby sdělování osobních údajů, které neporušují práva nebo svobody druhých, přičemž je třeba mít na paměti, jak je uvedeno v bodě 63 odůvodnění GDPR, že zohlednění těchto skutečností by nemělo „vést k tomu, že by subjektu údajů bylo odepřeno poskytnutí všech informací“ (rozsudek ze dne 4. května 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 44).

73

Pokud jde o způsob, jakým lze právo na přístup zakotvené v čl. 15 odst. 1 písm. h) GDPR uplatňovat způsobem, který respektuje práva a svobody druhých, je třeba připomenout, že podle judikatury může mít vnitrostátní soud za to, že mu musí být sděleny osobní údaje účastníků řízení nebo třetích osob, aby mohl s plnou znalostí věci a při dodržení zásady proporcionality vyvážit dotčené zájmy. Toto posouzení může případně uvedený soud dovést k tomu, že povolí, aby byly protistraně plně nebo částečné zpřístupněny osobní údaje, které mu byly takto sděleny, pokud má za to, že takové zpřístupnění nepřekračuje meze toho, co je nezbytné k zaručení účinného využití práv, která jednotlivcům plynou z článku 47 Listiny (rozsudek ze dne 2. března 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, bod 58).

74

Jak uvedl generální advokát v bodě 94 svého stanoviska, tato judikatura je plně přenosná na případ, kdy informace, které mají být subjektu údajů poskytnuty na základě práva na přístup zaručeného čl. 15 odst. 1 písm. h) GDPR, mohou vést k zásahu do práv a svobod druhých, zejména proto, že obsahují osobní údaje třetích osob chráněné uvedeným nařízením nebo obchodní tajemství ve smyslu čl. 2 odst. 1 bodu 1 směrnice 2016/943. I v takovém případě musí být uvedené informace sděleny příslušnému dozorovému úřadu nebo soudu, kterým přísluší zvážit dotčená práva a zájmy za účelem určení rozsahu práva subjektu údajů na přístup ke svým osobním údajům.

75

S ohledem na nezbytnost takového individuálního určování brání čl. 15 odst. 1 písm. h) GDPR zejména použití takového ustanovení, jako je § 4 odst. 6 DSG, které v zásadě vylučuje právo subjektu údajů na přístup stanovené v článku 15 GDPR, pokud by takový přístup ohrozil obchodní nebo podnikatelské tajemství správce nebo třetí strany. V tomto ohledu je třeba připomenout, že členský stát nemůže s konečnou platností pro každý jednotlivý případ předem určit výsledek unijním právem uloženého vyvažování dotčených práv a zájmů [v tomto smyslu viz rozsudek ze dne 7. prosince 2023, SCHUFA Holding a další (Scoring), C‑634/21, EU:C:2023:957, bod 70 a citovaná judikatura].

76

S ohledem na vše výše uvedené je třeba na třetí otázku písm. b) a c), čtvrtou otázku písm. a) a b), jakož i na pátou a šestou otázku odpovědět tak, že čl. 15 odst. 1 písm. h) GDPR musí být vykládán v tom smyslu, že v případě, že se správce domnívá, že informace, které mají být subjektu údajů poskytnuty podle tohoto ustanovení, obsahují údaje třetích osob chráněné tímto nařízením nebo obchodní tajemství ve smyslu čl. 2 bodu 1 směrnice 2016/943, je povinen sdělit tyto údajně chráněné informace příslušnému dozorovému úřadu nebo soudu, které musejí zvážit dotčená práva a zájmy za účelem určení rozsahu práva subjektu údajů na přístup stanoveného v článku 15 GDPR.

77

Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (první senát) rozhodl takto: