C-203/22 CK κατά Magistrat der Stadt Wien

ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (πρώτο τμήμα)

της 27ης Φεβρουαρίου 2025 ( *1 )

«Προδικαστική παραπομπή – Προστασία των δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 15, παράγραφος 1, στοιχείο ηʹ – Αυτοματοποιημένη λήψη αποφάσεως, συμπεριλαμβανομένης της καταρτίσεως προφίλ – “Scoring” – Εκτίμηση της φερεγγυότητας φυσικού προσώπου – Πρόσβαση στις σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται για την κατάρτιση προφίλ – Έλεγχος της ακρίβειας των παρεχομένων πληροφοριών – Κανονισμός (ΕΕ) 2016/943 – Άρθρο 2, σημείο 1 – Εμπορικό απόρρητο – Δεδομένα προσωπικού χαρακτήρα τρίτων»

Στην υπόθεση C‑203/22,

με αντικείμενο αίτηση προδικαστικής αποφάσεως δυνάμει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το Verwaltungsgericht Wien (διοικητικό πρωτοδικείο Βιέννης, Αυστρία), με απόφαση της 11ης Φεβρουαρίου 2022, η οποία περιήλθε στο Δικαστήριο στις 16 Μαρτίου 2022, στο πλαίσιο της δίκης

κατά

Magistrat der Stadt Wien,

παρισταμένης της:

Dun & Bradstreet Austria GmbH,

ΤΟ ΔΙΚΑΣΤΗΡΙΟ (πρώτο τμήμα),

συγκείμενο από τους K. Lenaerts, Πρόεδρο του Δικαστηρίου, προεδρεύοντα του πρώτου τμήματος, T. von Danwitz (εισηγητή), Αντιπρόεδρο του Δικαστηρίου, A. Kumin, N. Jääskinen και I. Ziemele, δικαστές,

γενικός εισαγγελέας: J. Richard de la Tour

γραμματέας: A. Calot Escobar

έχοντας υπόψη την έγγραφη διαδικασία,

λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:

–	η CK, εκπροσωπούμενη από τον C. Wirthensohn, Rechtsanwalt,

–	η Dun & Bradstreet Austria GmbH, εκπροσωπούμενη από τον D. Cooper, solicitor, την A.-S. Oberschelp de Meneses, avocate, τους K. Van Quathem και B. Van Vooren, advocaten,

–	η Ισπανική Κυβέρνηση, εκπροσωπούμενη από τον A. Ballesteros Panizo,

–	η Ολλανδική Κυβέρνηση, εκπροσωπούμενη από τις M. K. Bulterman και C. S. Schillemans,

–	η Πολωνική Κυβέρνηση, εκπροσωπούμενη από τον B. Majczyna,

–	η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τους A. Μπουχάγιαρ, F. Erlbacher και H. Kranenborg,

αφού άκουσε τον γενικό εισαγγελέα που ανέπτυξε τις προτάσεις του κατά τη συνεδρίαση της 12ης Σεπτεμβρίου 2024,

εκδίδει την ακόλουθη

Απόφαση

Η υπό κρίση αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία, αφενός, του άρθρου 15, παράγραφος 1, στοιχείο ηʹ, και του άρθρου 22 του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, και διορθωτικό ΕΕ 2018, L 127, σ. 2, στο εξής: ΓΚΠΔ), και, αφετέρου, του άρθρου 2, σημείο 1, της οδηγίας (ΕΕ) 2016/943 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 8ης Ιουνίου 2016, περί προστασίας της τεχνογνωσίας και των επιχειρηματικών πληροφοριών που δεν έχουν αποκαλυφθεί (εμπορικό απόρρητο) από την παράνομη απόκτηση, χρήση και αποκάλυψή τους (ΕΕ 2016, L 157, σ. 1).

Η αίτηση αυτή υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ της CK και της Magistrat der Stadt Wien (δημοτικής αρχής του Δήμου Βιέννης, Αυστρία) σχετικά με την αναγκαστική εκτέλεση δικαστικής αποφάσεως με την οποία διατάχθηκε η Bisnode Austria GmbH, νυν Dun & Bradstreet Austria GmbH (στο εξής: D & B), επιχείρηση που ειδικεύεται στην παροχή αξιολογήσεων πιστοληπτικής ικανότητας, να παράσχει στη CK σημαντικές πληροφορίες σχετικά με τη λογική η οποία ακολουθείται για την κατάρτιση προφίλ όσον αφορά τα δεδομένα προσωπικού χαρακτήρα που την αφορούν.

Το νομικό πλαίσιο

Το δίκαιο της Ένωσης

Ο ΓΚΠΔ

Οι αιτιολογικές σκέψεις 4, 11, 58, 63 και 71 του ΓΚΠΔ έχουν ως εξής:

«(4)

Η επεξεργασία των δεδομένων προσωπικού χαρακτήρα θα πρέπει να προορίζεται να εξυπηρετεί τον άνθρωπο. Το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο δικαίωμα· πρέπει να εκτιμάται σε σχέση με τη λειτουργία του στην κοινωνία και να σταθμίζεται με άλλα θεμελιώδη δικαιώματα, σύμφωνα με την αρχή της αναλογικότητας. Ο παρών κανονισμός σέβεται όλα τα θεμελιώδη δικαιώματα και τηρεί τις ελευθερίες και αρχές που αναγνωρίζονται στον [Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης (στο εξής: Χάρτης)] όπως κατοχυρώνονται στις Συνθήκες, ιδίως τον σεβασμό της ιδιωτικής και οικογενειακής ζωής, της κατοικίας και των επικοινωνιών, την προστασία των δεδομένων προσωπικού χαρακτήρα, την ελευθερία σκέψης, συνείδησης και θρησκείας, την ελευθερία έκφρασης και πληροφόρησης, την επιχειρηματική ελευθερία, το δικαίωμα πραγματικής προσφυγής και αμερόληπτου δικαστηρίου και την πολιτιστική, θρησκευτική και γλωσσική πολυμορφία.

[…]

(11)

Η αποτελεσματική προστασία των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση απαιτεί την ενίσχυση και τον λεπτομερή καθορισμό των δικαιωμάτων των υποκειμένων των δεδομένων, καθώς και των υποχρεώσεων όσων επεξεργάζονται και καθορίζουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς και των αντίστοιχων εξουσιών παρακολούθησης και διασφάλισης της συμμόρφωσης προς τους κανόνες προστασίας των δεδομένων προσωπικού χαρακτήρα και των αντίστοιχων κυρώσεων για τις παραβιάσεις στα κράτη μέλη.

[…]

(58)	Η αρχή της διαφάνειας απαιτεί οποιαδήποτε ενημέρωση που απευθύνεται στο κοινό ή στο υποκείμενο των δεδομένων να είναι συνοπτική, εύκολα προσβάσιμη και εύκολα κατανοητή και να χρησιμοποιείται σαφής και απλή διατύπωση και, επιπλέον, κατά περίπτωση, απεικόνιση. […]

[…]

(63)

Ένα υποκείμενο των δεδομένων θα πρέπει να έχει δικαίωμα πρόσβασης σε δεδομένα προσωπικού χαρακτήρα τα οποία συλλέχθηκαν και το αφορούν και να μπορεί να ασκεί το εν λόγω δικαίωμα ευχερώς και σε εύλογα τακτά διαστήματα, προκειμένου να έχει επίγνωση και να επαληθεύει τη νομιμότητα της επεξεργασίας. […] Το δικαίωμα αυτό δεν θα πρέπει να επηρεάζει αρνητικά τα δικαιώματα ή τις ελευθερίες άλλων, όπως το επαγγελματικό απόρρητο ή το δικαίωμα διανοητικής ιδιοκτησίας και, ειδικότερα, το δικαίωμα δημιουργού που προστατεύει το λογισμικό. Ωστόσο, οι παράγοντες αυτοί δεν θα πρέπει να έχουν ως αποτέλεσμα την άρνηση παροχής κάθε πληροφορίας στο υποκείμενο των δεδομένων. […]

[…]

(71)

Το υποκείμενο των δεδομένων θα πρέπει να έχει το δικαίωμα να μην υπόκειται σε απόφαση, η οποία μπορεί να περιλαμβάνει κάποιο μέτρο, με την οποία αξιολογούνται προσωπικές πτυχές που το αφορούν, λαμβανόμενη αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας και η οποία παράγει έννομα αποτελέσματα έναντι του προσώπου αυτού ή το επηρεάζει σημαντικά κατά ανάλογο τρόπο, όπως η αυτόματη άρνηση επιγραμμικής αίτησης πίστωσης ή πρακτικές ηλεκτρονικών προσλήψεων χωρίς ανθρώπινη παρέμβαση. Η επεξεργασία αυτή περιλαμβάνει την “κατάρτιση προφίλ” που αποτελείται από οποιαδήποτε μορφή αυτοματοποιημένης επεξεργασίας δεδομένων προσωπικού χαρακτήρα για την αξιολόγηση προσωπικών πτυχών σχετικά με ένα φυσικό πρόσωπο, ιδίως την ανάλυση ή την πρόβλεψη πτυχών που αφορούν τις επιδόσεις στην εργασία, την οικονομική κατάσταση, την υγεία, τις προσωπικές προτιμήσεις ή συμφέροντα, την αξιοπιστία ή τη συμπεριφορά, τη θέση ή κινήσεις του υποκειμένου των δεδομένων, στον βαθμό που παράγει νομικά αποτελέσματα έναντι του προσώπου αυτού ή το επηρεάζει σημαντικά κατά ανάλογο τρόπο. […] Σε κάθε περίπτωση, η επεξεργασία αυτή θα πρέπει να υπόκειται σε κατάλληλες εγγυήσεις, οι οποίες θα πρέπει να περιλαμβάνουν ειδική ενημέρωση του υποκειμένου των δεδομένων και το δικαίωμα εξασφάλισης ανθρώπινης παρέμβασης, το δικαίωμα διατύπωσης της άποψής του, το δικαίωμα να λάβει αιτιολόγηση της απόφασης που ελήφθη στο πλαίσιο της εν λόγω εκτίμησης και το δικαίωμα αμφισβήτησης της απόφασης. […]»

Το άρθρο 4, σημείο 4, του ως άνω κανονισμού, το οποίο φέρει τον τίτλο «Ορισμοί», προβλέπει τα ακόλουθα:

«Για τους σκοπούς του παρόντος κανονισμού νοούνται ως:

[…]

“κατάρτιση προφίλ” οποιαδήποτε μορφή αυτοματοποιημένης επεξεργασίας δεδομένων προσωπικού χαρακτήρα που συνίσταται στη χρήση δεδομένων προσωπικού χαρακτήρα για την αξιολόγηση ορισμένων προσωπικών πτυχών ενός φυσικού προσώπου, ιδίως για την ανάλυση ή την πρόβλεψη πτυχών που αφορούν την απόδοση στην εργασία, την οικονομική κατάσταση, την υγεία, τις προσωπικές προτιμήσεις, τα ενδιαφέροντα, την αξιοπιστία, τη συμπεριφορά, τη θέση ή τις μετακινήσεις του εν λόγω φυσικού προσώπου».

Το άρθρο 12 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Διαφανής ενημέρωση, ανακοίνωση και ρυθμίσεις για την άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων», προβλέπει στην παράγραφο 1 τα εξής:

«Ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που αναφέρεται στα άρθρα 13 και 14 και κάθε ανακοίνωση στο πλαίσιο των άρθρων 15 έως 22 και του άρθρου 34 σχετικά με την επεξεργασία σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση, ιδίως όταν πρόκειται για πληροφορία απευθυνόμενη ειδικά σε παιδιά. […]»

Το άρθρο 13 του ίδιου κανονισμού, το οποίο αφορά τις πληροφορίες που πρέπει να παρέχονται εάν τα δεδομένα προσωπικού χαρακτήρα συλλέγονται από το υποκείμενο των δεδομένων, και το άρθρο 14, το οποίο αφορά τις πληροφορίες που πρέπει να παρέχονται όταν τα δεδομένα προσωπικού χαρακτήρα δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων, προβλέπουν, αντιστοίχως, στην παράγραφο 2, στοιχείο στʹ, και στην παράγραφο 2, στοιχείο ζʹ, ότι ο υπεύθυνος επεξεργασίας υποχρεούται να παρέχει στο υποκείμενο των δεδομένων, για τη διασφάλιση θεμιτής και διαφανούς επεξεργασίας έναντι του υποκειμένου των δεδομένων, μεταξύ άλλων, ενημέρωση σχετικά με την «ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που αναφέρεται στο άρθρο 22 παράγραφοι 1 και 4 και, τουλάχιστον στις περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων».

Το άρθρο 15 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Δικαίωμα πρόσβασης του υποκειμένου των δεδομένων», ορίζει τα εξής:

«1. Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και στις ακόλουθες πληροφορίες:

[…]

η)

την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που προβλέπεται στο άρθρο 22 παράγραφοι 1 και 4 και, τουλάχιστον στις περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων.

[…]

3. Ο υπεύθυνος επεξεργασίας παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία. Για επιπλέον αντίγραφα που ενδέχεται να ζητηθούν από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας μπορεί να επιβάλει την καταβολή εύλογου τέλους για διοικητικά έξοδα. Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα και εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό, η ενημέρωση παρέχεται σε ηλεκτρονική μορφή που χρησιμοποιείται συνήθως.

4. Το δικαίωμα να λαμβάνεται αντίγραφο που αναφέρεται στην παράγραφο 3 δεν επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων.»

Το άρθρο 22 του εν λόγω κανονισμού, το οποίο φέρει τον τίτλο «Αυτοματοποιημένη ατομική λήψη αποφάσεων, περιλαμβανομένης της κατάρτισης προφίλ», προβλέπει τα ακόλουθα:

«1. Το υποκείμενο των δεδομένων έχει το δικαίωμα να μην υπόκειται σε απόφαση που λαμβάνεται αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας, συμπεριλαμβανομένης της κατάρτισης προφίλ, η οποία παράγει έννομα αποτελέσματα που το αφορούν ή το επηρεάζει σημαντικά με παρόμοιο τρόπο.

2. Η παράγραφος 1 δεν εφαρμόζεται όταν η απόφαση:

α)	είναι αναγκαία για τη σύναψη ή την εκτέλεση σύμβασης μεταξύ του υποκειμένου των δεδομένων και του υπευθύνου επεξεργασίας των δεδομένων,

β)	επιτρέπεται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας και το οποίο προβλέπει επίσης κατάλληλα μέτρα για την προστασία των δικαιωμάτων, των ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων ή

γ)	βασίζεται στη ρητή συγκατάθεση του υποκειμένου των δεδομένων.

3. Στις περιπτώσεις που αναφέρονται στην παράγραφο 2 στοιχεία α) και γ), ο υπεύθυνος επεξεργασίας των δεδομένων εφαρμόζει κατάλληλα μέτρα για την προστασία των δικαιωμάτων, των ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων, τουλάχιστον του δικαιώματος εξασφάλισης ανθρώπινης παρέμβασης από την πλευρά του υπευθύνου επεξεργασίας, έκφρασης άποψης και αμφισβήτησης της απόφασης.

4. Οι αποφάσεις που αναφέρονται στην παράγραφο 2 δεν βασίζονται στις ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα που αναφέρονται στο άρθρο 9 παράγραφος 1, εκτός αν ισχύει το άρθρο 9 παράγραφος 2 στοιχείο α) ή ζ) και αν υφίστανται κατάλληλα μέτρα για την προστασία των δικαιωμάτων, των ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων.»

Το άρθρο 23 του ΓΚΠΔ επιγράφεται «Περιορισμοί» και έχει ως ακολούθως:

«1. Το δίκαιο της Ένωσης ή του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία των δεδομένων μπορεί να περιορίζει μέσω νομοθετικού μέτρου το πεδίο εφαρμογής των υποχρεώσεων και των δικαιωμάτων που προβλέπονται στα άρθρα 12 έως 22 και στο άρθρο 34, καθώς και στο άρθρο 5, εφόσον οι διατάξεις του αντιστοιχούν στα δικαιώματα και τις υποχρεώσεις που προβλέπονται στα άρθρα 12 έως 22, όταν ένας τέτοιος περιορισμός σέβεται την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών και συνιστά αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία για τη διασφάλιση:

[…]

θ) της προστασίας του υποκειμένου των δεδομένων ή των δικαιωμάτων και των ελευθεριών τρίτων,

[…]

2. Ειδικότερα, κάθε νομοθετικό μέτρο το οποίο αναφέρεται στην παράγραφο 1 περιέχει συγκεκριμένες διατάξεις τουλάχιστον, ανάλογα με την περίπτωση, όσον αφορά:

α)	τους σκοπούς της επεξεργασίας ή τις κατηγορίες επεξεργασίας,

β)	τις κατηγορίες δεδομένων προσωπικού χαρακτήρα,

γ)	το πεδίο εφαρμογής των περιορισμών που επιβλήθηκαν,

δ)	τις εγγυήσεις για την πρόληψη καταχρήσεων ή παράνομης πρόσβασης ή διαβίβασης,

ε)	την ειδική περιγραφή του υπευθύνου επεξεργασίας ή των κατηγοριών των υπευθύνων επεξεργασίας,

στ)	τις περιόδους αποθήκευσης και τις ισχύουσες εγγυήσεις, λαμβάνοντας υπόψη τη φύση, το πεδίο εφαρμογής και τους σκοπούς της επεξεργασίας ή τις κατηγορίες επεξεργασίας,

ζ)	τους κινδύνους για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων και

η)	το δικαίωμα των υποκειμένων των δεδομένων να ενημερώνονται σχετικά με τον περιορισμό, εκτός εάν αυτό μπορεί να αποβεί επιζήμιο για τους σκοπούς του περιορισμού.»

Το άρθρο 54 του ΓΚΠΔ φέρει τον τίτλο «Κανόνες για τη σύσταση της εποπτικής αρχής» και προβλέπει στην παράγραφο 2 τα εξής:

«Το μέλος ή τα μέλη και οι υπάλληλοι κάθε εποπτικής αρχής δεσμεύονται, σύμφωνα με το δίκαιο της Ένωσης ή του κράτους μέλους, από το επαγγελματικό απόρρητο τόσο κατά τη διάρκεια της θητείας όσο και μετά το πέρας αυτής, όσον αφορά τις εμπιστευτικές πληροφορίες οι οποίες περιήλθαν σε γνώση τους κατά την εκτέλεση των καθηκόντων ή την άσκηση των αρμοδιοτήτων τους. Κατά τη διάρκεια της θητείας τους, η εν λόγω υποχρέωση τήρησης του επαγγελματικού απορρήτου ισχύει ιδίως για την αναφορά από φυσικά πρόσωπα παραβάσεων του παρόντος κανονισμού.»

Το άρθρο 58 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Εξουσίες», ορίζει στην παράγραφο 1, στοιχείο εʹ, τα εξής:

«Κάθε αρχή ελέγχου διαθέτει όλες τις ακόλουθες εξουσίες έρευνας:

ε)	να αποκτά, από τον υπεύθυνο επεξεργασίας και τον εκτελούντα την επεξεργασία, πρόσβαση σε όλα τα δεδομένα προσωπικού χαρακτήρα και όλες τις πληροφορίες που απαιτούνται για την εκτέλεση των καθηκόντων της».

Η οδηγία 2016/943

Η αιτιολογική σκέψη 35 της οδηγίας 2016/943 έχει ως ακολούθως:

«[…] η παρούσα οδηγία δεν θα πρέπει να θίγει τα δικαιώματα και τις υποχρεώσεις που προβλέπονται στην [οδηγία 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ 1995, L 281, σ. 31)], και ιδίως τα δικαιώματα του προσώπου στο οποίο αναφέρονται τα δεδομένα να έχει πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που τυγχάνουν επεξεργασίας και να επιτυγχάνει τη διόρθωση, τη διαγραφή ή το κλείδωμα των ανακριβών ή ελλιπών δεδομένων […]».

Το άρθρο 2, σημείο 1, της εν λόγω οδηγίας προβλέπει τα ακόλουθα:

«Για τους σκοπούς της παρούσας οδηγίας, ισχύουν οι ακόλουθοι ορισμοί:

ως “εμπορικό απόρρητο” νοούνται οι πληροφορίες οι οποίες πληρούν όλες τις ακόλουθες προϋποθέσεις:

α)	είναι απόρρητες, υπό την έννοια ότι, είτε ως σύνολο είτε από την άποψη του ακριβούς περιεχομένου και της διάταξης των συνιστωσών τους, δεν είναι ευρέως γνωστές σε πρόσωπα ανήκοντα στους κύκλους που ασχολούνται συνήθως με αυτό το είδος πληροφοριών ούτε άμεσα προσβάσιμες στα πρόσωπα αυτά·

β)	έχουν εμπορική αξία απορρέουσα από τον απόρρητο χαρακτήρα τους·

γ)	το πρόσωπο που έχει αποκτήσει νομίμως τον έλεγχο επί των εν λόγω πληροφοριών έχει καταβάλει εύλογες προσπάθειες, λαμβανομένων υπόψη των περιστάσεων, για την προστασία του απόρρητου χαρακτήρα τους».

Το άρθρο 9 της εν λόγω οδηγίας, το οποίο φέρει τον τίτλο «Προστασία του εμπιστευτικού χαρακτήρα των εμπορικών απορρήτων κατά τις δικαστικές διαδικασίες», ορίζει τα εξής:

«1. Τα κράτη μέλη διασφαλίζουν ότι οι διάδικοι, οι δικηγόροι ή άλλοι εκπρόσωποί τους, τα μέλη του δικαστηρίου, οι μάρτυρες, οι πραγματογνώμονες και κάθε άλλο πρόσωπο που συμμετέχει στη δικαστική διαδικασία που αφορά την παράνομη απόκτηση, χρήση ή αποκάλυψη εμπορικού απορρήτου, ή που έχει πρόσβαση σε έγγραφα τα οποία αποτελούν μέρος των εν λόγω δικαστικών διαδικασιών, απαγορεύεται να χρησιμοποιούν ή να αποκαλύπτουν οποιοδήποτε εμπορικό απόρρητο ή θεωρούμενο εμπορικό απόρρητο, εις χείρας των αρμόδιων δικαστικών αρχών, μετά από δεόντως αιτιολογημένη αίτηση κάποιου ενδιαφερομένου, το οποίο έχει χαρακτηρισθεί εμπιστευτικό και περιήλθε σε γνώση τους λόγω αυτής της συμμετοχής ή πρόσβασης. Προς τούτο, τα κράτη μέλη δύνανται επίσης να επιτρέπουν στις αρμόδιες δικαστικές αρχές να ενεργήσουν αυτοβούλως.

Η υποχρέωση που αναφέρεται στο πρώτο εδάφιο παραμένει σε ισχύ και μετά την ολοκλήρωση των δικαστικών διαδικασιών αλλά λήγει σε οποιαδήποτε από τις ακόλουθες περιστάσεις:

α)	εάν κριθεί διά οριστικής αποφάσεως ότι το θεωρούμενο εμπορικό απόρρητο δεν πληροί τις απαιτήσεις του άρθρου 2 σημείο 1)· ή

β)	εάν, με την πάροδο του χρόνου, οι εν λόγω πληροφορίες καθίστανται ευρέως γνωστές σε πρόσωπα ανήκοντα στους κύκλους που ασχολούνται συνήθως με αυτό το είδος πληροφοριών ή καθίστανται άμεσα προσβάσιμες από αυτά.

2. Τα κράτη μέλη διασφαλίζουν επίσης ότι οι αρμόδιες δικαστικές αρχές δύνανται, βάσει δεόντως αιτιολογημένης αίτησης διάδικου, να λαμβάνουν ειδικά μέτρα που είναι αναγκαία προκειμένου να προστατευθεί η εμπιστευτικότητα κάθε εμπορικού απορρήτου ή θεωρούμενου εμπορικού απορρήτου το οποίο χρησιμοποιείται ή αναφέρεται κατά την εξέλιξη της δικαστικής διαδικασίας που αφορά την παράνομη απόκτηση, χρήση ή αποκάλυψη εμπορικού απορρήτου. Τα κράτη μέλη δύνανται επίσης να επιτρέπουν στις αρμόδιες δικαστικές αρχές να λαμβάνουν τέτοια μέτρα αυτοβούλως.

Τα μέτρα που αναφέρονται στο πρώτο εδάφιο περιλαμβάνουν τουλάχιστον τη δυνατότητα:

α)	να περιορίζεται εν όλω ή εν μέρει η πρόσβαση σε οποιοδήποτε έγγραφο περιέχει εμπορικά απόρρητα ή θεωρούμενα εμπορικά απόρρητα, το οποίο υποβάλλεται από τους διαδίκους ή τρίτους, σε περιορισμένο αριθμό προσώπων·

β)	όταν ενδέχεται να αποκαλυφθούν εμπορικά απόρρητα ή θεωρούμενα εμπορικά απόρρητα, να επιτρέπεται πρόσβαση στην ακροαματική διαδικασία καθώς και στα αντίστοιχα πρακτικά ή καταγραφές της διαδικασίας σε περιορισμένο αριθμό προσώπων·

γ)	να διατίθεται σε οποιοδήποτε άλλο πρόσωπο που δεν περιλαμβάνεται στον περιορισμένο αριθμό προσώπων που αναφέρονται στα στοιχεία α) και β) ένα μη εμπιστευτικό κείμενο της δικαστικής αποφάσεως, στην οποία τα αποσπάσματα που περιέχουν εμπορικά απόρρητα έχουν αφαιρεθεί ή αναδιατυπωθεί.

Ο αριθμός των προσώπων που αναφέρονται στα στοιχεία α) και β) του δευτέρου εδαφίου δεν υπερβαίνει ό,τι είναι αναγκαίο για να εξασφαλιστεί η συμμόρφωση με το δικαίωμα των διαδίκων σε αποτελεσματικό ένδικο βοήθημα και σε δίκαιη δίκη και περιλαμβάνει, τουλάχιστον, ένα φυσικό πρόσωπο για κάθε διάδικο και τον πληρεξούσιο δικηγόρο ή άλλους εκπρόσωπους των εν λόγω διαδίκων.

3. Όταν αποφασίζουν σχετικά με τα μέτρα που αναφέρονται στην παράγραφο 2, και αξιολογούν την αναλογικότητά τους, οι αρμόδιες δικαστικές αρχές λαμβάνουν υπόψη την ανάγκη να διασφαλιστεί το δικαίωμα σε αποτελεσματικό ένδικο βοήθημα και σε δίκαιη δίκη, τα νόμιμα συμφέροντα των διαδίκων και, κατά περίπτωση, τρίτων, και κάθε ενδεχόμενη βλάβη ενός των διαδίκων και, κατά περίπτωση, τρίτων, που απορρέει από την αποδοχή ή την απόρριψη των σχετικών μέτρων.

4. Κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα σύμφωνα με τις παραγράφους 1, 2 ή 3 πραγματοποιείται σύμφωνα με την [οδηγία 95/46].»

Το αυστριακό δίκαιο

Το άρθρο 4, παράγραφος 6, του Datenschutzgesetz (νόμου περί προστασίας των δεδομένων), της 17ης Αυγούστου 1999 (BGBl. I, 165/1999), όπως ίσχυε κατά τον χρόνο των πραγματικών περιστατικών της διαφοράς της κύριας δίκης (στο εξής: DSG), αποκλείει, κατ’ αρχήν, την πρόσβαση του υποκειμένου των δεδομένων στα δεδομένα του προσωπικού χαρακτήρα που το αφορούν, η οποία προβλέπεται στο άρθρο 15 του ΓΚΠΔ, όταν η πρόσβαση αυτή θίγει το εμπορικό ή βιομηχανικό απόρρητο του υπευθύνου επεξεργασίας ή τρίτου.

Η διαφορά της κύριας δίκης και τα προδικαστικά ερωτήματα

Πάροχος υπηρεσιών κινητής τηλεφωνίας αρνήθηκε να συνάψει ή να ανανεώσει σύμβαση κινητής τηλεφωνίας με τη CK, η οποία θα συνεπαγόταν την καταβολή ποσού δέκα ευρώ μηνιαίως, για τον λόγο ότι, σύμφωνα με αυτοματοποιημένη αξιολόγηση της πιστοληπτικής της ικανότητας στην οποία προέβη η D & B, η CK δεν είχε επαρκή οικονομική φερεγγυότητα.

17	Η CK προσέφυγε στην αυστριακή αρχή προστασίας δεδομένων, η οποία υποχρέωσε την D & B να γνωστοποιήσει στη CK σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθήθηκε για την αυτοματοποιημένη λήψη της αποφάσεως βάσει των δεδομένων προσωπικού χαρακτήρα που αφορούν τη CK.

Η D & B άσκησε προσφυγή κατά της αποφάσεως της αρχής αυτής ενώπιον του Bundesverwaltungsgericht (Ομοσπονδιακού Διοικητικού Δικαστηρίου, Αυστρία), υποστηρίζοντας, κατ’ ουσίαν, ότι, λόγω του προστατευόμενου εμπορικού απορρήτου, δεν όφειλε να γνωστοποιήσει στη CK πρόσθετες πληροφορίες πέραν εκείνων που του είχαν ήδη παρασχεθεί.

Με απόφαση της 23ης Οκτωβρίου 2019 (στο εξής: απόφαση της 23ης Οκτωβρίου 2019), το εν λόγω δικαστήριο διαπίστωσε ότι η D & B είχε παραβεί το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ, παραλείποντας να παράσχει στη CK σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθήθηκε για την αυτοματοποιημένη λήψη αποφάσεως βάσει των δεδομένων προσωπικού χαρακτήρα που αφορούν τη CK, ή, τουλάχιστον, παραλείποντας να αιτιολογήσει επαρκώς την αδυναμία της να παράσχει τις πληροφορίες αυτές.

Ειδικότερα, με την απόφαση αυτή, το Bundesverwaltungsgericht (Ομοσπονδιακό Διοικητικό Δικαστήριο) επισήμανε ότι η D & B δεν είχε παράσχει στη CK επαρκείς εξηγήσεις που να της παρέχουν τη δυνατότητα να κατανοήσει πώς είχε καταλήξει, ως προς αυτή, στην πρόγνωση σχετικά με την πιθανότητα μελλοντικής συμπεριφοράς της («score [βαθμολογία]»), την οποία η εν λόγω επιχείρηση της γνωστοποίησε με τη διευκρίνιση ότι, για να λάβει την εν λόγω «βαθμολογία», ορισμένα κοινωνικοδημογραφικά δεδομένα της CK είχαν «εκτιμηθεί ως ισοδύναμα μεταξύ τους».

Η απόφαση της 23ης Οκτωβρίου 2019 κατέστη αμετάκλητη και είναι εκτελεστή δυνάμει του αυστριακού δικαίου. Εντούτοις, η αίτηση αναγκαστικής εκτελέσεως της εν λόγω αποφάσεως, την οποία υπέβαλε η CK ενώπιον της δημοτικής αρχής του Δήμου Βιέννης, η οποία είναι η αρχή εκτελέσεως, απορρίφθηκε με την αιτιολογία ότι η D & B είχε εκπληρώσει επαρκώς την υποχρέωσή της περί παροχής πληροφοριών, μολονότι η εταιρία αυτή δεν παρέσχε καμία συμπληρωματική πληροφορία μετά την έκδοση της ως άνω αποφάσεως.

22	Η CK άσκησε ανακοπή κατά της αποφάσεως της δημοτικής αρχής του Δήμου Βιέννης ενώπιον του Verwaltungsgericht Wien (διοικητικού πρωτοδικείου Βιέννης, Αυστρία), ήτοι του αιτούντος δικαστηρίου, με αίτημα την αναγκαστική εκτέλεση της αποφάσεως της 23ης Οκτωβρίου 2019.

23	Το αιτούν δικαστήριο εκτιμά ότι, δυνάμει του αυστριακού δικαίου, υποχρεούται να εκτελέσει την τελευταία αυτή απόφαση, όπερ συνεπάγεται τον προσδιορισμό των συγκεκριμένων πράξεων στις οποίες οφείλει να προβεί η D & B δυνάμει της ανωτέρω αποφάσεως.

Εκτιμώντας ότι ο προσδιορισμός αυτός μπορεί να γίνει μόνον από πραγματογνώμονα έχοντα τις απαιτούμενες ικανότητες, το αιτούν δικαστήριο διόρισε πραγματογνώμονα ο οποίος έκρινε ότι η D & B υποχρεούται να παράσχει, προκειμένου να εκπληρώσει τις υποχρεώσεις της έναντι της CK, τις ακόλουθες ελάχιστες πληροφορίες:

–	τα δεδομένα προσωπικού χαρακτήρα σχετικά με τη CK τα οποία υποβλήθηκαν σε επεξεργασία στο πλαίσιο της διαμορφώσεως ενός «παράγοντα» (ημερομηνία γεννήσεως, διεύθυνση, φύλο κ.λπ.)·

–	τον μαθηματικό τύπο βάσει του οποίου υπολογίστηκε η επίμαχη στην κύρια δίκη «score [βαθμολογία]»·

–	τη συγκεκριμένη τιμή που λαμβάνει η CK για καθέναν από τους σχετικούς παράγοντες, και

–	την ακρίβεια των διαστημάτων εντός των οποίων αποδίδεται η ίδια τιμή σε διαφορετικά δεδομένα για τον ίδιο παράγοντα (αξιολόγηση ανά διαστήματα ή κατά διακριτική ή ενδεικτική/κτηματολογική αξιολόγηση).

Προκειμένου να διασφαλισθεί ότι, μετά την υποβολή τους, η ακρίβεια των εν λόγω ελάχιστων πληροφοριών μπορεί να επαληθευθεί από τη CK, η D & B θα έπρεπε επίσης να υποβάλει κατάλογο με τις «scores [βαθμολογίες]» προσώπων (δηλαδή τη «scoring [βαθμολόγηση]») για την περίοδο των έξι μηνών που προηγήθηκαν και των έξι μηνών που ακολούθησαν την κατάρτιση της «score [βαθμολογίας]» της CK, οι οποίες καταρτίσθηκαν βάσει του ίδιου κανόνα υπολογισμού.

Κατά το αιτούν δικαστήριο, μόνον η γνωστοποίηση των ελάχιστων πληροφοριών που έχει προσδιορίσει ο εν λόγω πραγματογνώμονας καθιστά δυνατή την επαλήθευση της συνεκτικότητας και της ακρίβειας των πληροφοριών που παρέχει ο υπεύθυνος επεξεργασίας δυνάμει του άρθρου 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ.

Εν προκειμένω, από πολλές ενδείξεις προκύπτει σαφώς ότι οι πληροφορίες που παρέσχε η D & B είναι αντίθετες προς τα πραγματικά περιστατικά. Συγκεκριμένα, ενώ οι πληροφορίες που κοινοποιήθηκαν στη CK, μεταξύ των οποίων και η «score [βαθμολογία]», επιβεβαίωναν την πολύ καλή φερεγγυότητά της, η κατάρτιση πραγματικού προφίλ οδήγησε στο συμπέρασμα ότι δεν ήταν φερέγγυα, ακόμη και όσον αφορά την καταβολή του ποσού των δέκα ευρώ μηνιαίως στο πλαίσιο συμβάσεως κινητής τηλεφωνίας.

28	Επομένως, το αιτούν δικαστήριο εκτιμά ότι τίθεται το ζήτημα αν το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ εγγυάται στο υποκείμενο των δεδομένων τη δυνατότητα να επαληθεύει την ακρίβεια των πληροφοριών που παρέχει ο υπεύθυνος επεξεργασίας.

Σε περίπτωση που το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ δεν διασφαλίζει την εν λόγω επαλήθευση, το δικαίωμα προσβάσεως στα δεδομένα προσωπικού χαρακτήρα του υποκειμένου των δεδομένων και σε άλλες πληροφορίες που προβλέπονται σε αυτήν τη διάταξη θα καθίστατο κενό περιεχομένου και άνευ αντικειμένου, δεδομένου μάλιστα ότι κάθε υπεύθυνος θα μπορούσε, στην περίπτωση αυτή, να είναι σε θέση να παράσχει εσφαλμένες πληροφορίες.

30	Τίθεται επίσης το ζήτημα αν, και, ενδεχομένως, σε ποιον βαθμό, η εξαίρεση που αντλείται από την ύπαρξη εμπορικού απορρήτου είναι ικανή να περιορίσει το εν λόγω δικαίωμα προσβάσεως, το οποίο κατοχυρώνεται στο άρθρο 15, παράγραφος 1, στοιχείο ηʹ, σε συνδυασμό με το άρθρο 22 του ΓΚΠΔ.

Υπό το πρίσμα των κανόνων του άρθρου 9 της οδηγίας 2016/943, πρέπει να εκτιμηθεί αν είναι δυνατόν να κοινοποιηθούν μόνο στην αρχή ή στο δικαστήριο που έχει επιληφθεί της υποθέσεως οι πληροφορίες που χαρακτηρίζονται ως «εμπορικό απόρρητο», κατά την έννοια του άρθρου 2, σημείο 1, της εν λόγω οδηγίας, προκειμένου η εν λόγω αρχή ή το εν λόγω δικαστήριο να ελέγξει αυτοτελώς αν πρέπει να θεωρηθεί ότι υφίσταται πράγματι εμπορικό απόρρητο και αν οι πληροφορίες τις οποίες παρέσχε ο υπεύθυνος επεξεργασίας, κατά την έννοια του άρθρου 15, παράγραφος 1, του ΓΚΠΔ, συνάδουν με την πραγματικότητα της επίμαχης καταστάσεως.

Τέλος, πρέπει να εξετασθεί αν διάταξη όπως το άρθρο 4, παράγραφος 6, του DSG, η οποία αποκλείει, κατ’ αρχήν, το δικαίωμα προσβάσεως του υποκειμένου των δεδομένων, το οποίο προβλέπεται στο άρθρο 15 του ΓΚΠΔ, όταν η πρόσβαση αυτή θα έθετε σε κίνδυνο εμπορικό ή επιχειρηματικό απόρρητο του υπευθύνου επεξεργασίας ή τρίτου, μπορεί να θεωρηθεί σύμφωνη με τις συνδυασμένες διατάξεις του άρθρου 15, παράγραφος 1, και του άρθρου 22, παράγραφος 3, του ΓΚΠΔ.

Υπό τις συνθήκες αυτές, το Verwaltungsgericht Wien (διοικητικό πρωτοδικείο Βιέννης) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:

«1)

Ποιες ουσιαστικές απαιτήσεις πρέπει να πληροί η παρεχόμενη πρόσβαση στις πληροφορίες για να μπορεί να χαρακτηριστεί αρκούντως “σημαντική” κατά την έννοια του άρθρου 15, παράγραφος 1, στοιχείο ηʹ, του [ΓΚΠΔ];

Στην περίπτωση της κατάρτισης προφίλ, και τηρουμένου πάντως του τυχόν υφιστάμενου εμπορικού απορρήτου, πρέπει να γνωστοποιούνται από τον υπεύθυνο επεξεργασίας, στο πλαίσιο της ενημέρωσης σχετικά με την “λογική που ακολουθείται”, κατ’ αρχήν, επίσης, οι πληροφορίες που είναι, στη συγκεκριμένη περίπτωση, ουσιώδεις για να καταστεί κατανοητό το αποτέλεσμα της αυτοματοποιημένης λήψης αποφάσεων, μεταξύ των οποίων περιλαμβάνονται, ιδίως, 1) η γνωστοποίηση των επεξεργασθέντων δεδομένων του υποκειμένου των δεδομένων, 2) η γνωστοποίηση των απαραίτητων για την κατανόηση του αποτελέσματος τμημάτων του αλγορίθμου στον οποίο βασίζεται η κατάρτιση του προφίλ και 3) οι πληροφορίες που απαιτούνται για τη συσχέτιση των επεξεργασθεισών πληροφοριών με τη διενεργηθείσα εκτίμηση;

Πρέπει, στις περιπτώσεις που έχουν ως αντικείμενο την κατάρτιση προφίλ, να γνωστοποιούνται στον δικαιούχο πρόσβασης κατά το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ, σε κάθε περίπτωση, ακόμη και σε περίπτωση προβολής της ένστασης ύπαρξης επιχειρηματικού απορρήτου, οι ακόλουθες πληροφορίες σχετικά με τη συγκεκριμένη επεξεργασία που τον αφορά, προκειμένου να διασφαλιστεί ο σεβασμός των δικαιωμάτων που αρύεται από το άρθρο 22, παράγραφος 3, του ΓΚΠΔ:

α)	[η] διαβίβαση όλων των ενδεχομένως ψευδωνυμοποιημένων πληροφοριών, ιδίως σχετικά με τον τρόπο επεξεργασίας των δεδομένων του υποκειμένου των δεδομένων, οι οποίες καθιστούν δυνατό τον έλεγχο της συμμόρφωσης προς τον ΓΚΠΔ,

β)	[η] διάθεση των εισερχόμενων δεδομένων που χρησιμοποιήθηκαν για την κατάρτιση προφίλ,

γ)	οι παράμετροι και οι εισαγόμενες μεταβλητές που χρησιμοποιήθηκαν για τη διενέργεια της αξιολόγησης,

δ)	η επίδραση των εν λόγω παραμέτρων και εισαγόμενων μεταβλητών στην υπολογισθείσα αξιολόγηση,

ε)	πληροφορίες σχετικά με την προέλευση των παραμέτρων και/ή των εισαγόμενων μεταβλητών,

στ)	η επεξήγηση του λόγου για τον οποίο ο δικαιούχος πρόσβασης κατά το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ υπήρξε αποδέκτης συγκεκριμένου αποτελέσματος αξιολόγησης και η παράθεση της δήλωσης που συνδέεται με την αξιολόγηση αυτή, [καθώς και]

ζ)	η απαρίθμηση των κατηγοριών προφίλ και παροχή διευκρινίσεων όσον αφορά το ποια δήλωση αξιολόγησης συνδέεται με κάθε μία από τις κατηγορίες προφίλ;

Συνδέεται το απονεμόμενο από το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ δικαίωμα πρόσβασης με τα κατοχυρωμένα από το άρθρο 22, παράγραφος 3, του ΓΚΠΔ δικαιώματα έκφρασης άποψης και αμφισβήτησης της ληφθείσας αυτοματοποιημένης απόφασης κατά το άρθρο 22 του ΓΚΠΔ, υπό την έννοια ότι το εύρος των πληροφοριών που πρέπει να παρέχονται κατόπιν αίτησης παροχής πρόσβασης κατά το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ είναι αρκούντως “σημαντικό” μόνον όταν ο αιτών την πρόσβαση και υποκείμενο των δεδομένων κατά το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ είναι σε θέση να ασκήσει πραγματικά, εκτενώς και αποτελεσματικά τα κατοχυρωμένα από το άρθρο 22, παράγραφος 3, του ΓΚΠΔ δικαιώματα έκφρασης άποψης και αμφισβήτησης της ληφθείσας αυτοματοποιημένης απόφασης;

α) Έχει το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ την έννοια ότι “σημαντικές πληροφορίες” κατά την έννοια της διάταξης αυτής πρέπει να θεωρηθεί ότι είναι μόνον οι πληροφορίες που είναι τόσο εκτεταμένες ώστε ο δικαιούχος πρόσβασης κατά το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ να είναι σε θέση να εξακριβώσει αν οι εν λόγω παρασχεθείσες πληροφορίες ανταποκρίνονται εν τέλει στην πραγματικότητα, ήτοι αν η συγκεκριμένα ζητηθείσα αυτοματοποιημένη απόφαση βασίστηκε πράγματι στις γνωστοποιηθείσες πληροφορίες;

β) Σε περίπτωση καταφατικής απάντησης: Ποια είναι η ενδεδειγμένη λύση σε περίπτωση που η ακρίβεια των πληροφοριών που παρασχέθηκαν από έναν υπεύθυνο επεξεργασίας μπορεί να επαληθευτεί μόνον εφόσον γνωστοποιηθούν στον δικαιούχο πρόσβασης κατά το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ, μεταξύ άλλων, και δεδομένα τρίτων που προστατεύονται από τον ΓΚΠΔ (“black box”);

Μπορεί, επίσης, η σύγκρουση αυτή μεταξύ του δικαιώματος πρόσβασης κατά το άρθρο 15, παράγραφος 1, του ΓΚΠΔ και του δικαιώματος τρίτων στην προστασία των δεδομένων τους να αρθεί με τη γνωστοποίηση των απαραίτητων για την επαλήθευση της ακρίβειας δεδομένων των τρίτων, τα οποία έχουν υποβληθεί ομοίως στην ίδια διαδικασία κατάρτισης προφίλ, αποκλειστικά και μόνο στη διοικητική αρχή ή στο δικαστήριο, με αποτέλεσμα η διοικητική αρχή ή το δικαστήριο να οφείλει να ελέγξει αυτοτελώς το αν τα γνωστοποιηθέντα δεδομένα των εν λόγω τρίτων ανταποκρίνονται στην πραγματικότητα;

γ) Σε περίπτωση καταφατικής απάντησης: Ποια δικαιώματα πρέπει να παρέχονται, σε κάθε περίπτωση, στον δικαιούχο πρόσβασης κατά το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ όταν απαιτείται η διασφάλιση της προστασίας των δικαιωμάτων τρίτων κατά το άρθρο 15, παράγραφος 4, του ΓΚΠΔ μέσω της δημιουργίας του υπό βʹ μνημονευόμενου “black box”;

Πρέπει τότε, σε κάθε περίπτωση, να γνωστοποιούνται στον δικαιούχο πρόσβασης κατά το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ, σε ψευδωνυμοποιημένη μορφή, τα δεδομένα τρίτων των οποίων η γνωστοποίηση είναι απαραίτητη προκειμένου να καταστεί δυνατή η επαλήθευση της ορθότητας των αποφάσεων που ελήφθησαν από τον υπεύθυνο επεξεργασίας κατά το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ;

α) Ποια είναι η ενδεδειγμένη λύση όταν οι χρήζουσες γνωστοποίησης πληροφορίες κατά το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ πληρούν και τις προϋποθέσεις συνδρομής εμπορικού απορρήτου που προβλέπονται στο άρθρο 2, σημείο 1, της οδηγίας [2016/943];

Μπορεί η σύγκρουση μεταξύ του δικαιώματος πρόσβασης που κατοχυρώνεται στο άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ και του δικαιώματος τήρησης του εμπορικού απορρήτου, το οποίο προστατεύεται από την οδηγία 2016/943, να αρθεί με τη γνωστοποίηση των πληροφοριών που χαρακτηρίζονται ως εμπορικό απόρρητο κατά το άρθρο 2, σημείο 1, της οδηγίας 2016/943 αποκλειστικά και μόνο στη διοικητική αρχή ή στο δικαστήριο, με αποτέλεσμα η διοικητική αρχή ή το δικαστήριο να οφείλει να ελέγξει αυτοτελώς το αν πρέπει να θεωρηθεί ότι υφίσταται εμπορικό απόρρητο κατά το άρθρο 2, σημείο 1, της οδηγίας 2016/943 και το αν οι πληροφορίες που παρασχέθηκαν από τον υπεύθυνο επεξεργασίας κατά το άρθρο 15, παράγραφος 1, του ΓΚΠΔ ανταποκρίνονται στην πραγματικότητα;

β) Σε περίπτωση καταφατικής απάντησης: Ποια δικαιώματα πρέπει να παρέχονται, σε κάθε περίπτωση, στον δικαιούχο πρόσβασης κατά το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ όταν απαιτείται η διασφάλιση της προστασίας των δικαιωμάτων τρίτων κατά το άρθρο 15, παράγραφος 4, του ΓΚΠΔ μέσω της δημιουργίας του υπό αʹ μνημονευόμενου “black box”;

Πρέπει, (ακόμη και) στην εν λόγω περίπτωση της διάστασης μεταξύ των πληροφοριών που πρέπει να γνωστοποιηθούν στη διοικητική αρχή ή στο δικαστήριο και των πληροφοριών που πρέπει να γνωστοποιηθούν στον δικαιούχο πρόσβασης κατά το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ, στις περιπτώσεις που έχουν ως αντικείμενο την κατάρτιση προφίλ, να γνωστοποιούνται στον δικαιούχο πρόσβασης κατά το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ, σε κάθε περίπτωση, οι ακόλουθες πληροφορίες σχετικά με τη συγκεκριμένη επεξεργασία που τον αφορά, προκειμένου να διασφαλιστεί ο σεβασμός των δικαιωμάτων που αρύεται από το άρθρο 22, παράγραφος 3, του ΓΚΠΔ:

–	[η] διαβίβαση όλων των ενδεχομένως ψευδωνυμοποιημένων πληροφοριών, ιδίως σχετικά με τον τρόπο επεξεργασίας των δεδομένων του υποκειμένου των δεδομένων, οι οποίες καθιστούν δυνατό τον έλεγχο της συμμόρφωσης προς τον ΓΚΠΔ,

–	[η] διάθεση των εισερχόμενων δεδομένων που χρησιμοποιήθηκαν για την κατάρτιση προφίλ,

–	οι παράμετροι και οι εισαγόμενες μεταβλητές που χρησιμοποιήθηκαν για τη διενέργεια της αξιολόγησης,

–	η επίδραση των εν λόγω παραμέτρων και εισαγόμενων μεταβλητών στην υπολογισθείσα αξιολόγηση,

–	πληροφορίες σχετικά με την προέλευση των παραμέτρων και/ή των εισαγόμενων μεταβλητών,

–	[η] επεξήγηση του λόγου για τον οποίο ο δικαιούχος πρόσβασης κατά το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ υπήρξε αποδέκτης συγκεκριμένου αποτελέσματος αξιολόγησης και παράθεση της δήλωσης που συνδέεται με την αξιολόγηση αυτή, [καθώς και]

–	[η] απαρίθμηση των κατηγοριών προφίλ και [η] παροχή διευκρινίσεων όσον αφορά το ποια δήλωση αξιολόγησης συνδέεται με κάθε μία από τις κατηγορίες προφίλ;

Περιορίζει η διάταξη του άρθρου 15, παράγραφος 4, του ΓΚΠΔ καθ’ οιονδήποτε τρόπο το εύρος των πληροφοριών που χρήζουν γνωστοποίησης βάσει του άρθρου 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ;

Σε περίπτωση καταφατικής απάντησης, με ποιον τρόπο περιορίζεται το εν λόγω δικαίωμα πρόσβασης από το άρθρο 15, παράγραφος 4, του ΓΚΠΔ και πώς διαπιστώνεται, στην εκάστοτε περίπτωση, το εύρος του εν λόγω περιορισμού;

Συνάδει με τις απαιτήσεις του άρθρου 15, παράγραφος 1, σε συνδυασμό με το άρθρο 22, παράγραφος 3, του ΓΚΠΔ, η διάταξη του άρθρου 4, παράγραφος 6, του [DSG], κατά την οποία, “[υ]πό την επιφύλαξη άλλων νομικών περιορισμών, το δικαίωμα πρόσβασης του υποκειμένου των δεδομένων σύμφωνα με το άρθρο 15 του ΓΚΠΔ δεν υφίσταται έναντι του υπευθύνου επεξεργασίας, κατά κανόνα, στις περιπτώσεις που από την παροχή της πρόσβασης αυτής θα διακυβευόταν ένα εμπορικό ή επιχειρηματικό απόρρητο του υπευθύνου επεξεργασίας και/ή τρίτων”; Σε περίπτωση καταφατικής απάντησης, υπό ποιες προϋποθέσεις υφίσταται τέτοια συμβατότητα;»

Η διαδικασία ενώπιον του Δικαστηρίου

34	Με απόφαση της 8ης Δεκεμβρίου 2022, ο Πρόεδρος του Δικαστηρίου ανέστειλε την παρούσα διαδικασία εν αναμονή της αποφάσεως που θα περάτωνε τη δίκη στην υπόθεση C‑634/21, SCHUFA Holding κ.λπ. (Scoring).

Σύμφωνα με την απόφαση του Προέδρου του Δικαστηρίου της 13ης Δεκεμβρίου 2023, η Γραμματεία του Δικαστηρίου κοινοποίησε στο αιτούν δικαστήριο την απόφαση της 7ης Δεκεμβρίου 2023, SCHUFA Holding κ.λπ. (Scoring) (C‑634/21, EU:C:2023:957), καλώντας το να του γνωστοποιήσει αν, λαμβανομένης υπόψη της αποφάσεως αυτής, εμμένει στην αίτησή του προδικαστικής αποφάσεως.

Με επιστολή που περιήλθε στη Γραμματεία του Δικαστηρίου στις 29 Ιανουαρίου 2024, το αιτούν δικαστήριο επισήμανε ότι εμμένει στην αίτησή του προδικαστικής αποφάσεως, δεδομένου ότι από την απόφαση της 7ης Δεκεμβρίου 2023, SCHUFA Holding κ.λπ. (Scoring) (C‑634/21, EU:C:2023:957), δεν προέκυπτε η απάντηση στα ερωτήματα τα οποία είχε υποβάλει στην υπό κρίση υπόθεση.

37	Ως εκ τούτου, με απόφαση της 14ης Φεβρουαρίου 2024, ο Πρόεδρος του Δικαστηρίου διέταξε την επανάληψη της διαδικασίας στην υπό κρίση υπόθεση.

Επί των προδικαστικών ερωτημάτων

Επί του πρώτου και δεύτερου ερωτήματος, καθώς και επί του τρίτου ερωτήματος, υπό αʹ

Με το πρώτο και το δεύτερο προδικαστικό ερώτημα, καθώς και με το τρίτο προδικαστικό ερώτημα, υπό αʹ, τα οποία πρέπει να εξετασθούν από κοινού, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινισθεί αν το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ έχει την έννοια ότι, σε περίπτωση αυτοματοποιημένης λήψεως αποφάσεων, συμπεριλαμβανομένης της καταρτίσεως προφίλ, κατά την έννοια του άρθρου 22, παράγραφος 1, του ΓΚΠΔ, το υποκείμενο των δεδομένων μπορεί να απαιτήσει από τον υπεύθυνο επεξεργασίας, ως «σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται», εξαντλητική επεξήγηση της διαδικασίας και των αρχών που εφαρμόζονται in concreto για την αυτοματοποιημένη επεξεργασία των δεδομένων προσωπικού χαρακτήρα που αφορούν το υποκείμενο των δεδομένων με σκοπό την επίτευξη συγκεκριμένου αποτελέσματος, όπως είναι ένα προφίλ φερεγγυότητας.

Κατά πάγια νομολογία του Δικαστηρίου, για την ερμηνεία διατάξεως του δικαίου της Ένωσης πρέπει να λαμβάνεται υπόψη όχι μόνον το γράμμα της, αλλά και το πλαίσιο στο οποίο εντάσσεται και οι σκοποί που επιδιώκονται με τη ρύθμιση της οποίας αποτελεί μέρος (απόφαση της 4ης Μαΐου 2023, Österreichische Datenschutzbehörde και CRIF, C‑487/21, EU:C:2023:369, σκέψη 19 και εκεί μνημονευόμενη νομολογία).

Όσον αφορά, κατ’ αρχάς, το γράμμα του άρθρου 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ, επισημαίνεται, αφενός, ότι το σημασιολογικό περιεχόμενο της εννοίας των «σημαντικών πληροφοριών» της ανωτέρω διατάξεως διαφέρει στις διάφορες γλωσσικές αποδόσεις της, καθότι, ενώ σε ορισμένες προτιμάται, όπως συμβαίνει με την απόδοση στη γαλλική γλώσσα, η λειτουργικότητα («nuttige» στην ολλανδική γλώσσα, «úteis» στην πορτογαλική γλώσσα) ή η κρισιμότητα («pertinente» στη ρουμανική γλώσσα) των πληροφοριών που πρέπει να παρέχονται, σε άλλες δίδεται μεγαλύτερη έμφαση στη σημασία τους («signifiativa» στην ισπανική γλώσσα και «istotne» στην πολωνική γλώσσα). Τέλος, στην απόδοση της εν λόγω διατάξεως τόσο στη γερμανική όσο και στην αγγλική γλώσσα, ο χρησιμοποιούμενος όρος («aussagekräftig» και «meaningful», αντιστοίχως) μπορεί να νοηθεί ως αναφερόμενος στον εύληπτο χαρακτήρα των εν λόγω πληροφοριών, αλλά και ως αναφερόμενος σε ορισμένη ποιότητά τους.

Ωστόσο, η ποικιλομορφία του σημασιολογικού περιεχομένου των διαφόρων γλωσσικών αποδόσεων πρέπει να εκληφθεί υπό την έννοια της συμπληρωματικότητας των σημασιών που εκτέθηκαν στην προηγούμενη σκέψη, οι οποίες πρέπει να λαμβάνονται υπόψη κατά την ερμηνεία της εννοίας των «σημαντικών πληροφοριών σχετικά με τη λογική που ακολουθείται», κατά το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ, όπως επισήμανε, κατ’ ουσίαν, ο γενικός εισαγγελέας στο σημείο 65 των προτάσεών του.

Αφετέρου, λαμβανομένης υπόψη της γενικής διατυπώσεώς της, η αναφορά, στη διάταξη αυτή, στη «λογική που ακολουθείται» για την αυτοματοποιημένη λήψη αποφάσεως, η οποία αποτελεί το αντικείμενο των εν λόγω «σημαντικών πληροφοριών», μπορεί να καλύπτει ευρύ φάσμα «λογικών» επεξεργασίας δεδομένων προσωπικού χαρακτήρα και άλλων δεδομένων με σκοπό την επίτευξη, με αυτοματοποιημένο τρόπο, συγκεκριμένου αποτελέσματος. Η ανωτέρω ερμηνεία επιρρωννύεται από ορισμένες γλωσσικές αποδόσεις της εν λόγω διατάξεως οι οποίες χρησιμοποιούν όρους αφορώντες, συμπληρωματικώς, διάφορες πτυχές της εννοίας της «λογικής» κατά την κοινώς αποδεκτή σημασία της. Συγκεκριμένα, για παράδειγμα, στις αποδόσεις στην τσεχική και στην πολωνική γλώσσα γίνεται αναφορά, αντιστοίχως, στους όρους «postupu» και «zasady», οι οποίοι μπορούν να μεταφρασθούν ως «διαδικασία» και «αρχές».

43	Επομένως, πρέπει να γίνει δεκτό ότι το γράμμα του άρθρου 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ αφορά κάθε κρίσιμη πληροφορία σχετικά με τη διαδικασία και τις αρχές που διέπουν την αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα με σκοπό την επίτευξη συγκεκριμένου αποτελέσματος.

Όσον αφορά, εν συνεχεία, το πλαίσιο στο οποίο εντάσσεται η έννοια των «σημαντικών πληροφοριών σχετικά με τη λογική που ακολουθείται», η οποία περιλαμβάνεται στο άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ, υπογραμμίζεται, κατά πρώτον, ότι οι πληροφορίες αυτές αποτελούν μέρος μόνον εκείνων τις οποίες αφορά το δικαίωμα προσβάσεως που προβλέπεται στο εν λόγω άρθρο, το οποίο αφορά επίσης τις πληροφορίες σχετικά με τη σημασία και τις προβλεπόμενες συνέπειες της επίμαχης επεξεργασίας για το υποκείμενο των δεδομένων.

Μολονότι οι τελευταίες αυτές πληροφορίες, οι οποίες, σύμφωνα με τις κατευθυντήριες γραμμές για την αυτοματοποιημένη λήψη αποφάσεων και την κατάρτιση προφίλ για τους σκοπούς του κανονισμού (ΕΕ) 2016/679, εγκρίθηκαν στις 3 Οκτωβρίου 2017 από την ομάδα εργασίας που συστάθηκε με το άρθρο 29 της οδηγίας 95/46, όπως τελικώς αναθεωρήθηκαν και εκδόθηκαν στις 6 Φεβρουαρίου 2018, προκειμένου να είναι χρήσιμες και κατανοητές, θα πρέπει να συνοδεύονται από «ρεαλιστικά, απτά παραδείγματα», δεν αποτελούν αντικείμενο των ερωτημάτων που υπέβαλε το αιτούν δικαστήριο, πλην όμως πρέπει να ληφθούν υπόψη ως στοιχείο του πλαισίου στο οποίο εντάσσεται η έννοια των «σημαντικών πληροφοριών σχετικά με τη λογική που ακολουθείται».

Κατά δεύτερον, λαμβανομένου υπόψη του γεγονότος ότι η έννοια των «σημαντικών πληροφοριών σχετικά με τη λογική που ακολουθείται» περιλαμβάνεται επίσης στο άρθρο 13, παράγραφος 2, στοιχείο στʹ, και στο άρθρο 14, παράγραφος 2, στοιχείο ζʹ, του ΓΚΠΔ, το Δικαστήριο έχει διαπιστώσει ότι, σε περίπτωση αυτοματοποιημένης λήψεως αποφάσεων, κατά την έννοια του άρθρου 22, παράγραφος 1, του κανονισμού αυτού, το δικαίωμα προσβάσεως στις εν λόγω πληροφορίες που κατοχυρώνεται στο άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του κανονισμού αποτελεί ένα σύνολο με τις πρόσθετες υποχρεώσεις ενημερώσεως που υπέχει ο υπεύθυνος επεξεργασίας από το ως άνω άρθρο 13, παράγραφος 2, στοιχείο στʹ, και το άρθρο 14, παράγραφος 2, στοιχείο ζʹ, του ΓΚΠΔ [πρβλ. απόφαση της 7ης Δεκεμβρίου 2023, SCHUFA Holding κ.λπ. (Scoring), C‑634/21, EU:C:2023:957, σκέψη 56].

Κατά τρίτον, όπως εξέθεσε, κατ’ ουσίαν, ο γενικός εισαγγελέας στα σημεία 58 έως 60 των προτάσεών του, πρέπει να λαμβάνεται υπόψη, στο πλαίσιο της συστηματικής ερμηνείας των δικαιωμάτων προσβάσεως που προβλέπονται σε περίπτωση αυτοματοποιημένης λήψεως αποφάσεων, η νομολογία του Δικαστηρίου σχετικά με τις απαιτήσεις τις οποίες πρέπει να πληροί ο υπεύθυνος επεξεργασίας δυνάμει του άρθρου 15, παράγραφος 3, του ΓΚΠΔ.

Επομένως, πρέπει να ληφθεί υπόψη, μεταξύ άλλων, το γεγονός ότι η απαίτηση διαφάνειας των γνωστοποιούμενων πληροφοριών, η οποία προβλέπεται στο άρθρο 12, παράγραφος 1, του ΓΚΠΔ, εφαρμόζεται σε όλα τα δεδομένα και τις πληροφορίες που μνημονεύονται στο εν λόγω άρθρο 15, συμπεριλαμβανομένων εκείνων που σχετίζονται με την αυτοματοποιημένη λήψη αποφάσεων.

Προκειμένου να διασφαλισθεί ότι το υποκείμενο των δεδομένων είναι σε θέση να κατανοήσει πλήρως τις πληροφορίες που του παρέχει ο υπεύθυνος επεξεργασίας, το άρθρο 12, παράγραφος 1, υποχρεώνει τον υπεύθυνο επεξεργασίας να λαμβάνει τα κατάλληλα μέτρα ιδίως για να παρέχει στο υποκείμενο των δεδομένων τα εν λόγω δεδομένα και τις πληροφορίες σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση (πρβλ. απόφαση της 4ης Μαΐου 2023, Österreichische Datenschutzbehörde και CRIF, C‑487/21, EU:C:2023:369, σκέψη 38).

Επομένως, η εξέταση του πλαισίου στο οποίο εντάσσεται το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ επιρρωννύει την ερμηνεία που συνάγεται από την ανάλυση του γράμματος της διατάξεως αυτής, κατά την οποία οι «σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται» για την αυτοματοποιημένη λήψη αποφάσεων, κατά την έννοια της ανωτέρω διατάξεως, αφορούν κάθε κρίσιμη πληροφορία σχετικά με τη διαδικασία και τις αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα με σκοπό την επίτευξη, με αυτοματοποιημένο τρόπο, συγκεκριμένου αποτελέσματος, ενώ η υποχρέωση διαφάνειας απαιτεί οι πληροφορίες αυτές να παρέχονται με συνοπτικό, διαφανή, κατανοητό και εύκολα προσβάσιμο τρόπο.

Όσον αφορά, τέλος, τους σκοπούς του ΓΚΠΔ, υπενθυμίζεται ότι ο σκοπός του εν λόγω κανονισμού συνίσταται, μεταξύ άλλων, στη διασφάλιση υψηλού επιπέδου προστασίας των θεμελιωδών ελευθεριών και δικαιωμάτων των φυσικών προσώπων, ιδίως του δικαιώματός τους στην προστασία των δεδομένων προσωπικού χαρακτήρα, το οποίο κατοχυρώνεται στο άρθρο 16 ΣΛΕΕ και κατοχυρώνεται ως θεμελιώδες δικαίωμα στο άρθρο 8 του Χάρτη, το οποίο συμπληρώνει το δικαίωμα στην ιδιωτική ζωή που κατοχυρώνεται στο άρθρο 7 του Χάρτη [πρβλ. απόφαση της 4ης Οκτωβρίου 2024, Schrems (Κοινοποίηση δεδομένων στο ευρύ κοινό),C‑446/21, EU:C:2024:834, σκέψη 45 και εκεί μνημονευόμενη νομολογία].

Επομένως, όπως διευκρινίζεται εξάλλου στην αιτιολογική σκέψη 11 του ΓΚΠΔ, σκοπός του είναι η ενίσχυση και η αποσαφήνιση των δικαιωμάτων των υποκειμένων των δεδομένων (απόφαση της 4ης Μαΐου 2023, Österreichische Datenschutzbehörde και CRIF, C‑487/21, EU:C:2023:369, σκέψη 33 και εκεί μνημονευόμενη νομολογία).

Όσον αφορά, ειδικότερα, το δικαίωμα προσβάσεως που προβλέπεται στο άρθρο 15 του ΓΚΠΔ, από τη νομολογία του Δικαστηρίου προκύπτει ότι το δικαίωμα αυτό πρέπει να παρέχει στο υποκείμενο των δεδομένων τη δυνατότητα να βεβαιωθεί ότι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν είναι ακριβή και ότι η επεξεργασία τους γίνεται με νόμιμο τρόπο [αποφάσεις της 4ης Μαΐου 2023, Österreichische Datenschutzbehörde και CRIF, C‑487/21, EU:C:2023:369, σκέψη 34, και της 26ης Οκτωβρίου 2023, FT (Αντίγραφα του ιατρικού φακέλου),C‑307/22, EU:C:2023:811, σκέψη 73].

Το δικαίωμα προσβάσεως είναι αναγκαίο προκειμένου το υποκείμενο των δεδομένων να μπορεί να ασκήσει, ενδεχομένως, το δικαίωμα διορθώσεως, το δικαίωμα διαγραφής των δεδομένων («δικαίωμα στη λήθη») και το δικαίωμα περιορισμού της επεξεργασίας, τα οποία του αναγνωρίζονται, αντιστοίχως, από τα άρθρα 16, 17 και 18 του ΓΚΠΔ, το δικαίωμα να αντιταχθεί στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν, το οποίο προβλέπεται στο άρθρο 21 του ΓΚΠΔ, καθώς και το δικαίωμα να ασκήσει αγωγή και το δικαίωμα αποζημιώσεως, τα οποία προβλέπονται αντιστοίχως στα άρθρα 79 και 82 του ΓΚΠΔ (πρβλ. απόφαση της 4ης Μαΐου 2023, Österreichische Datenschutzbehörde και CRIF, C‑487/21, EU:C:2023:369, σκέψη 35).

Ειδικότερα, στο ειδικό πλαίσιο της εκδόσεως αποφάσεως που βασίζεται αποκλειστικώς σε αυτοματοποιημένη επεξεργασία, ο κύριος σκοπός του δικαιώματος του υποκειμένου των δεδομένων να λάβει τις πληροφορίες που προβλέπονται στο άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ είναι να του παρασχεθεί η δυνατότητα να ασκήσει με αποτελεσματικότητα τα δικαιώματα που του αναγνωρίζει το άρθρο 22, παράγραφος 3, του ως άνω κανονισμού, ήτοι το δικαίωμα να εκφράσει την άποψή του επί της αποφάσεως αυτής και το δικαίωμα να την αμφισβητήσει.

Πράγματι, αν τα πρόσωπα που θίγονται από αυτοματοποιημένη απόφαση, συμπεριλαμβανομένης της καταρτίσεως προφίλ, δεν ήσαν σε θέση να κατανοήσουν τους λόγους για τους οποίους ελήφθη η απόφαση αυτή πριν εκφράσουν την άποψή τους ή αμφισβητήσουν την εν λόγω απόφαση, τα δικαιώματα αυτά δεν θα μπορούσαν, ως εκ τούτου, να εκπληρώσουν πλήρως τον σκοπό τους που συνίσταται στην προστασία των προσώπων αυτών από συγκεκριμένους κινδύνους για τα δικαιώματα και τις ελευθερίες τους λόγω της αυτοματοποιημένης επεξεργασίας δεδομένων προσωπικού χαρακτήρα που τα αφορούν [πρβλ. απόφαση της 7ης Δεκεμβρίου 2023, SCHUFA Holding κ.λπ. (Scoring), C‑634/21, EU:C:2023:957, σκέψη 57].

Συναφώς, από την αιτιολογική σκέψη 71 του ΓΚΠΔ προκύπτει ότι, όταν το υποκείμενο των δεδομένων αποτελεί αντικείμενο αποφάσεως η οποία λαμβάνεται αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας και το επηρεάζει σημαντικά, το υποκείμενο των δεδομένων πρέπει να έχει το δικαίωμα να λάβει εξηγήσεις σχετικά με την απόφαση αυτή. Επομένως, όπως επισήμανε ο γενικός εισαγγελέας στο σημείο 67 των προτάσεών του, πρέπει να γίνει δεκτό ότι το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ παρέχει στο υποκείμενο των δεδομένων πραγματικό δικαίωμα στην επεξήγηση της λειτουργίας του μηχανισμού στον οποίο ερείδεται η αυτοματοποιημένη λήψη αποφάσεως στην οποία υπόκειται το υποκείμενο των δεδομένων και του αποτελέσματος στο οποίο κατέληξε η εν λόγω απόφαση.

Από την εξέταση των σκοπών του ΓΚΠΔ και, ειδικότερα, των σκοπών του άρθρου 15, παράγραφος 1, στοιχείο ηʹ, του κανονισμού αυτού, προκύπτει ότι το δικαίωμα λήψεως «σημαντικών πληροφοριών σχετικά με τη λογική που ακολουθείται» για την αυτοματοποιημένη λήψη αποφάσεων, κατά την έννοια της διατάξεως αυτής, πρέπει να νοείται ως δικαίωμα στην επεξήγηση της διαδικασίας και των αρχών που εφαρμόζονται in concreto για την αυτοματοποιημένη επεξεργασία των δεδομένων προσωπικού χαρακτήρα του υποκειμένου των δεδομένων με σκοπό την επίτευξη συγκεκριμένου αποτελέσματος, όπως είναι η κατάρτιση προφίλ φερεγγυότητας. Προκειμένου το υποκείμενο των δεδομένων να είναι σε θέση να ασκήσει αποτελεσματικά τα δικαιώματα που του αναγνωρίζει ο ΓΚΠΔ και, ειδικότερα, το άρθρο του 22, παράγραφος 3, η επεξήγηση αυτή πρέπει να παρέχεται, μέσω σχετικών πληροφοριών, με συνοπτικό, διαφανή, κατανοητό και εύκολα προσβάσιμο τρόπο.

Οι απαιτήσεις αυτές δεν πληρούνται ούτε με την απλή κοινοποίηση ενός περίπλοκου μαθηματικού τύπου, όπως ένας αλγόριθμος, ούτε με τη λεπτομερή περιγραφή όλων των σταδίων της αυτοματοποιημένης λήψεως αποφάσεων, στο μέτρο που με τους τρόπους αυτούς δεν παρέχεται αρκούντως συνοπτική και κατανοητή επεξήγηση.

Πράγματι, όπως προκύπτει από τη σελίδα 28 των κατευθυντήριων γραμμών για την αυτοματοποιημένη λήψη αποφάσεων και την κατάρτιση προφίλ για τους σκοπούς του κανονισμού (ΕΕ) 2016/679, οι οποίες μνημονεύονται στη σκέψη 45 της παρούσας αποφάσεως, αφενός, ο υπεύθυνος επεξεργασίας θα πρέπει επινοεί απλούς τρόπους να ενημερώνει το υποκείμενο των δεδομένων σχετικά με το υποκείμενο σκεπτικό ή με τα κριτήρια με βάση τα οποία λαμβάνεται η απόφαση. Αφετέρου, ο ΓΚΠΔ απαιτεί από τον υπεύθυνο επεξεργασίας να παρέχει σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθήθηκε για την απόφαση αυτή, «και όχι απαραιτήτως μια σύνθετη εξήγηση των αλγορίθμων που χρησιμοποιούνται ούτε να αποκαλύπτει τον πλήρη αλγόριθμο».

Επομένως, οι «σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται» σε μια αυτοματοποιημένη λήψη αποφάσεων, κατά την έννοια του άρθρου 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ, πρέπει να περιγράφουν τη διαδικασία και τις αρχές που εφαρμόζονται in concreto κατά τρόπο ώστε το υποκείμενο των δεδομένων να μπορεί να κατανοήσει ποια από τα δεδομένα προσωπικού χαρακτήρα που το αφορούν χρησιμοποιήθηκαν κατά την επίμαχη αυτοματοποιημένη λήψη αποφάσεως και με ποιον τρόπο, χωρίς να μπορεί η πολυπλοκότητα των πράξεων που πρέπει να πραγματοποιηθούν στο πλαίσιο αυτοματοποιημένης λήψεως αποφάσεων να απαλλάξει τον υπεύθυνο επεξεργασίας από το καθήκον του παροχής επεξηγήσεων.

Όσον αφορά ειδικώς την κατάρτιση προφίλ όπως η επίμαχη στην υπόθεση της κύριας δίκης, το αιτούν δικαστήριο θα μπορούσε, μεταξύ άλλων, να θεωρήσει ως αρκούντως διαφανή και κατανοητή την ενημέρωση του υποκειμένου των δεδομένων σχετικά με τον βαθμό στον οποίο τυχόν διαφοροποίηση των δεδομένων προσωπικού χαρακτήρα που λαμβάνονται υπόψη θα οδηγούσε σε διαφορετικό αποτέλεσμα.

Τούτου λεχθέντος, διευκρινίζεται επίσης ότι, όσον αφορά το ζήτημα αν οι παρεχόμενες πληροφορίες πρέπει να παρέχουν στο υποκείμενο των δεδομένων τη δυνατότητα να επαληθεύσει την ακρίβεια των δεδομένων προσωπικού χαρακτήρα που το αφορούν και στα οποία στηρίζεται η αυτοματοποιημένη λήψη αποφάσεως, το δικαίωμα προσβάσεως στα εν λόγω δεδομένα δεν εμπίπτει στο στοιχείο ηʹ της παραγράφου 1 του άρθρου 15 του ΓΚΠΔ, αλλά στην εισαγωγική περίοδο της ίδιας παραγράφου, η οποία εγγυάται στο υποκείμενο των δεδομένων τη δυνατότητα να βεβαιωθεί για την ακρίβεια των δεδομένων αυτών, όπως προκύπτει από τη νομολογία που μνημονεύεται στη σκέψη 53 της παρούσας αποφάσεως.

Τέλος, όσον αφορά την παραδοχή του αιτούντος δικαστηρίου ότι οι πληροφορίες που παρέσχε η D & B στη CK, βάσει του άρθρου 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ, είναι αντίθετες προς τα πραγματικά περιστατικά, δεδομένου ότι η κατάρτιση «πραγματικού» προφίλ οδήγησε στο συμπέρασμα ότι δεν ήταν φερέγγυα, ενώ εκ των εν λόγω πληροφοριών προέκυπτε το αντίθετο, επισημαίνεται ότι, μολονότι, κατά το αιτούν δικαστήριο, η διαπιστωθείσα τοιουτοτρόπως αντίθεση προς τα πραγματικά περιστατικά οφείλεται στη μη γνωστοποίηση εκ μέρους της D & B στη CK της καταρτίσεως του προφίλ της το οποίο πραγματοποιήθηκε για λογαριασμό της επιχειρήσεως κινητής τηλεφωνίας η οποία αρνήθηκε, εξ αυτού του λόγου, τη σύναψη ή ανανέωση συμβάσεως με τη CK, θα πρέπει να θεραπευθεί μέσω του δικαιώματος προσβάσεως στο προφίλ φερεγγυότητας που δημιουργήθηκε με τον τρόπο αυτόν. Συναφώς, από τη νομολογία του Δικαστηρίου προκύπτει ότι τα δεδομένα προσωπικού χαρακτήρα που παράγονται από τον ίδιο τον υπεύθυνο επεξεργασίας εμπίπτουν στο άρθρο 14 του ΓΚΠΔ (πρβλ. απόφαση της 28ης Νοεμβρίου 2024, Másdi, C‑169/23, EU:C:2024:988, σκέψη 48).

Αντιθέτως, η εξήγηση των διαφορών που υφίστανται μεταξύ του αποτελέσματος της καταρτίσεως ενός τέτοιου «πραγματικού» προφίλ, ακόμη και αν θεωρηθεί αποδεδειγμένο, και του αποτελέσματος που κοινοποίησε η D & B στη CK και το οποίο προέκυψε, κατά την εταιρία αυτή, μέσω «εκτιμήσεως ως ισοδύναμων μεταξύ τους» των δεδομένων που αφορούν τη CK θα αποκάλυπτε πράγματι «σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται» για την κατ’ αυτόν τον τρόπο κατάρτιση προφίλ. Επομένως, σύμφωνα με τα όσα επισημάνθηκαν στη σκέψη 58 της παρούσας αποφάσεως, η D & B υποχρεούται να εξηγήσει κατά τρόπο συνοπτικό, διαφανή, κατανοητό και ευχερώς προσβάσιμο τη διαδικασία και τις αρχές κατ’ εφαρμογήν των οποίων καταρτίσθηκε το «πραγματικό» προφίλ.

Από το σύνολο των προεκτεθέντων προκύπτει ότι στο πρώτο και στο δεύτερο προδικαστικό ερώτημα, καθώς και στο τρίτο προδικαστικό ερώτημα, υπό αʹ, προσήκει η απάντηση ότι το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ έχει την έννοια ότι, σε περίπτωση αυτοματοποιημένης λήψεως αποφάσεων, συμπεριλαμβανομένης της καταρτίσεως προφίλ, κατά την έννοια του άρθρου 22, παράγραφος 1, του κανονισμού αυτού, το υποκείμενο των δεδομένων μπορεί να απαιτήσει από τον υπεύθυνο επεξεργασίας, ως «σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται», να του εξηγήσει, μέσω σχετικών πληροφοριών και με συνοπτικό, διαφανή, κατανοητό και εύκολα προσβάσιμο τρόπο, τη διαδικασία και τις αρχές που εφαρμόζονται in concreto για την αυτοματοποιημένη επεξεργασία των δεδομένων προσωπικού χαρακτήρα που αφορούν το εν λόγω υποκείμενο των δεδομένων με σκοπό την επίτευξη συγκεκριμένου αποτελέσματος, όπως είναι η κατάρτιση προφίλ φερεγγυότητας.

Επί του τρίτου ερωτήματος, υπό βʹ και γʹ, επί του τέταρτου ερωτήματος, υπό αʹ και βʹ, καθώς και επί του πέμπτου και του έκτου ερωτήματος

Με το τρίτο προδικαστικό ερώτημα, υπό βʹ και γʹ, με το τέταρτο προδικαστικό ερώτημα, υπό αʹ και βʹ, καθώς και με το πέμπτο και το έκτο προδικαστικό ερώτημα, τα οποία πρέπει να εξετασθούν από κοινού, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινισθεί αν το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ έχει την έννοια ότι, σε περίπτωση που ο υπεύθυνος επεξεργασίας θεωρεί ότι οι πληροφορίες που πρέπει να παρασχεθούν στο υποκείμενο των δεδομένων σύμφωνα με τη διάταξη αυτήν περιέχουν δεδομένα τρίτων που προστατεύονται από τον εν λόγω κανονισμό ή εμπορικά απόρρητα, κατά την έννοια του άρθρου 2, σημείο 1, της οδηγίας 2016/943, ο υπεύθυνος επεξεργασίας υποχρεούται να γνωστοποιήσει τις εν λόγω φερόμενες ως προστατευόμενες πληροφορίες στην αρμόδια εποπτική αρχή ή στο αρμόδιο δικαστήριο, αυτά δε οφείλουν να σταθμίσουν τα εμπλεκόμενα δικαιώματα και συμφέροντα προκειμένου να καθορισθεί η έκταση του δικαιώματος προσβάσεως του υποκειμένου των δεδομένων που προβλέπεται στο άρθρο 15 του ΓΚΠΔ.

Συναφώς, επισημαίνεται εξαρχής ότι, κατά την αιτιολογική σκέψη 4 του ΓΚΠΔ, το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο δικαίωμα και πρέπει να σταθμίζεται με άλλα θεμελιώδη δικαιώματα, σύμφωνα με την αρχή της αναλογικότητας. Επομένως, ο ΓΚΠΔ σέβεται όλα τα θεμελιώδη δικαιώματα και τηρεί τις ελευθερίες και τις αρχές που αναγνωρίζονται από τον Χάρτη και κατοχυρώνονται στις Συνθήκες [απόφαση της 26ης Οκτωβρίου 2023, FT (Αντίγραφα του ιατρικού φακέλου),C‑307/22, EU:C:2023:811, σκέψη 59 και εκεί μνημονευόμενη νομολογία].

Επιπλέον, κατά την αιτιολογική σκέψη 63 του ΓΚΠΔ, το δικαίωμα κάθε υποκειμένου των δεδομένων να αποκτά πρόσβαση στα δεδομένα προσωπικού χαρακτήρα τα οποία συλλέχθηκαν και το αφορούν δεν θα πρέπει να επηρεάζει αρνητικά τα δικαιώματα ή τις ελευθερίες άλλων, συμπεριλαμβανομένου του επαγγελματικού απορρήτου ή του δικαιώματος διανοητικής ιδιοκτησίας και, ειδικότερα, του δικαιώματος δημιουργού που προστατεύει το λογισμικό.

Ωστόσο, οι ανωτέρω παράγοντες δεν θα πρέπει να έχουν ως αποτέλεσμα την άρνηση παροχής κάθε πληροφορίας στο υποκείμενο των δεδομένων. Συγκεκριμένα, το άρθρο 23, παράγραφος 1, στοιχείο θʹ, του ΓΚΠΔ προβλέπει, κατ’ ουσίαν, ότι περιορισμός του περιεχομένου των υποχρεώσεων και των δικαιωμάτων που προβλέπονται, μεταξύ άλλων, στο άρθρο 15 του ΓΚΠΔ είναι δυνατός μόνον όταν σέβεται την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών και συνιστά αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία για τη διασφάλιση της προστασίας των δικαιωμάτων και ελευθεριών των τρίτων.

Όσον αφορά το συγγενικό δικαίωμα λήψεως αντιγράφου, το οποίο κατοχυρώνεται στο άρθρο 15, παράγραφος 4, του ΓΚΠΔ, το Δικαστήριο έχει ήδη επισημάνει ότι η εφαρμογή του δεν πρέπει να θίγει τα δικαιώματα και τις ελευθερίες τρίτων, συμπεριλαμβανομένων του επαγγελματικού απορρήτου ή της διανοητικής ιδιοκτησίας, ιδίως του δικαιώματος πνευματικής ιδιοκτησίας που προστατεύει το λογισμικό (πρβλ. απόφαση της 4ης Μαΐου 2023, Österreichische Datenschutzbehörde και CRIF, C‑487/21, EU:C:2023:369, σκέψη 43).

Στο πλαίσιο αυτό, το Δικαστήριο έχει επισημάνει ότι, σε περίπτωση συγκρούσεως μεταξύ, αφενός, της ασκήσεως του δικαιώματος πλήρους προσβάσεως στα δεδομένα προσωπικού χαρακτήρα και, αφετέρου, των δικαιωμάτων ή των ελευθεριών τρίτων, θα πρέπει να γίνεται στάθμιση των συγκρουόμενων δικαιωμάτων και ελευθεριών. Οσάκις είναι δυνατόν, θα πρέπει να επιλέγονται τρόποι κοινοποιήσεως των δεδομένων προσωπικού χαρακτήρα οι οποίοι δεν προσβάλλουν τα δικαιώματα ή τις ελευθερίες τρίτων, λαμβανομένου, εντούτοις, υπόψη ότι, όπως προκύπτει από την αιτιολογική σκέψη 63 του ΓΚΠΔ, τέτοιοι παράγοντες δεν πρέπει «να έχουν ως αποτέλεσμα την άρνηση παροχής κάθε πληροφορίας στο υποκείμενο των δεδομένων» (απόφαση της 4ης Μαΐου 2023, Österreichische Datenschutzbehörde και CRIF, C‑487/21, EU:C:2023:369, σκέψη 44).

Όσον αφορά το πώς το δικαίωμα προσβάσεως που κατοχυρώνεται στο άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ μπορεί να ασκείται κατά τρόπο ώστε να γίνονται σεβαστά τα δικαιώματα και οι ελευθερίες τρίτων, υπενθυμίζεται ότι, κατά τη νομολογία, το εθνικό δικαστήριο μπορεί να κρίνει ότι τα δεδομένα προσωπικού χαρακτήρα των διαδίκων ή τρίτων πρέπει να του γνωστοποιούνται προκειμένου να μπορέσει να σταθμίσει τα διακυβευόμενα συμφέροντα με πλήρη επίγνωση και τηρουμένης της αρχής της αναλογικότητας. Αναλόγως της περιπτώσεως, η εκτίμηση αυτή ενδέχεται να οδηγήσει το εθνικό δικαστήριο στο να επιτρέψει την πλήρη ή τη μερική γνωστοποίηση στον αντίδικο των δεδομένων προσωπικού χαρακτήρα που του κοινοποιήθηκαν, εφόσον κρίνει ότι η γνωστοποίηση αυτή δεν βαίνει πέραν του αναγκαίου μέτρου για τη διασφάλιση της αποτελεσματικής απολαύσεως των δικαιωμάτων που οι ιδιώτες αντλούν από το άρθρο 47 του Χάρτη (απόφαση της 2ας Μαρτίου 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, σκέψη 58).

Όπως επισήμανε ο γενικός εισαγγελέας στο σημείο 94 των προτάσεών του, η νομολογία αυτή μπορεί να εφαρμοσθεί πλήρως στην περίπτωση κατά την οποία οι πληροφορίες που πρέπει να παρέχονται στο υποκείμενο των δεδομένων βάσει του δικαιώματος προσβάσεως που κατοχυρώνεται στο άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ ενδέχεται να συνεπάγονται προσβολή των δικαιωμάτων και των ελευθεριών τρίτων, ιδίως εφόσον περιέχουν δεδομένα προσωπικού χαρακτήρα τρίτων τα οποία προστατεύονται από τον κανονισμό ή από το εμπορικό απόρρητο, κατά την έννοια του άρθρου 2, σημείο 1, της οδηγίας 2016/943. Και στην περίπτωση αυτή, οι εν λόγω πληροφορίες πρέπει να κοινοποιούνται στην αρμόδια εποπτική αρχή ή στο αρμόδιο δικαστήριο, σε αυτά εναπόκειται δε η στάθμιση των συγκρουόμενων δικαιωμάτων και συμφερόντων προκειμένου να καθορισθεί η έκταση του δικαιώματος προσβάσεως του υποκειμένου των δεδομένων στα δεδομένα προσωπικού χαρακτήρα που το αφορούν.

Λαμβανομένης υπόψη της αναγκαιότητας ενός τέτοιου προσδιορισμού κατά περίπτωση, το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ αντιτίθεται, μεταξύ άλλων, στην εφαρμογή διατάξεως όπως το άρθρο 4, παράγραφος 6, του DSG, το οποίο αποκλείει, κατ’ αρχήν, το δικαίωμα προσβάσεως του υποκειμένου των δεδομένων, το οποίο προβλέπεται στο άρθρο 15 του ΓΚΠΔ, στις περιπτώσεις που η παροχή προσβάσεως θα έθιγε εμπορικό ή επιχειρηματικό απόρρητο του υπευθύνου επεξεργασίας ή τρίτων. Συναφώς, θα πρέπει να υπομνησθεί ότι ένα κράτος μέλος δεν μπορεί να προδιαγράψει με απόλυτο τρόπο το αποτέλεσμα της κατά περίπτωση σταθμίσεως των συγκρουόμενων δικαιωμάτων και συμφερόντων που επιβάλλει το δίκαιο της Ένωσης [πρβλ. απόφαση της 7ης Δεκεμβρίου 2023, SCHUFA Holding κ.λπ. (Scoring), C‑634/21, EU:C:2023:957, σκέψη 70 και εκεί μνημονευόμενη νομολογία].

Λαμβανομένου υπόψη του συνόλου των προεκτεθέντων, στο τρίτο προδικαστικό ερώτημα, υπό βʹ και γʹ, στο τέταρτο προδικαστικό ερώτημα, υπό αʹ και βʹ, καθώς και στο πέμπτο και στο έκτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ έχει την έννοια ότι, σε περίπτωση που ο υπεύθυνος επεξεργασίας θεωρεί ότι οι πληροφορίες που πρέπει να παρασχεθούν στο υποκείμενο των δεδομένων σύμφωνα με τη διάταξη αυτήν περιλαμβάνουν δεδομένα τρίτων που προστατεύονται από τον ΓΚΠΔ ή από εμπορικό απόρρητο, κατά την έννοια του άρθρου 2, σημείο 1, της οδηγίας 2016/943, ο υπεύθυνος επεξεργασίας υποχρεούται να κοινοποιήσει τις φερόμενες ως προστατευόμενες πληροφορίες στην αρμόδια εποπτική αρχή ή στο αρμόδιο δικαστήριο, τα οποία οφείλουν να σταθμίσουν τα συγκρουόμενα δικαιώματα και συμφέροντα προκειμένου να καθορισθεί η έκταση του δικαιώματος προσβάσεως του υποκειμένου των δεδομένων που προβλέπεται στο άρθρο 15 του ΓΚΠΔ.

Επί των δικαστικών εξόδων

Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του αιτούντος δικαστηρίου, σε αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.

Για τους λόγους αυτούς, το Δικαστήριο (πρώτο τμήμα) αποφαίνεται:

Το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων),

έχει την έννοια ότι:

σε περίπτωση αυτοματοποιημένης λήψεως αποφάσεων, συμπεριλαμβανομένης της καταρτίσεως προφίλ, κατά την έννοια του άρθρου 22, παράγραφος 1, του κανονισμού αυτού, το υποκείμενο των δεδομένων μπορεί να απαιτήσει από τον υπεύθυνο επεξεργασίας, ως «σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται», να του εξηγήσει, μέσω σχετικών πληροφοριών και με συνοπτικό, διαφανή, κατανοητό και εύκολα προσβάσιμο τρόπο, τη διαδικασία και τις αρχές που εφαρμόζονται in concreto για την αυτοματοποιημένη επεξεργασία των δεδομένων προσωπικού χαρακτήρα που αφορούν το εν λόγω υποκείμενο των δεδομένων με σκοπό την επίτευξη συγκεκριμένου αποτελέσματος, όπως είναι η κατάρτιση προφίλ φερεγγυότητας.

Το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του κανονισμού 2016/679

έχει την έννοια ότι:

σε περίπτωση που ο υπεύθυνος επεξεργασίας θεωρεί ότι οι πληροφορίες που πρέπει να παρασχεθούν στο υποκείμενο των δεδομένων σύμφωνα με τη διάταξη αυτήν περιλαμβάνουν δεδομένα τρίτων που προστατεύονται από τον κανονισμό αυτόν ή από εμπορικό απόρρητο, κατά την έννοια του άρθρου 2, σημείο 1, της οδηγίας (ΕΕ) 2016/943 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 8ης Ιουνίου 2016, περί προστασίας της τεχνογνωσίας και των επιχειρηματικών πληροφοριών που δεν έχουν αποκαλυφθεί (εμπορικό απόρρητο) από την παράνομη απόκτηση, χρήση και αποκάλυψή τους, ο υπεύθυνος επεξεργασίας υποχρεούται να κοινοποιήσει τις φερόμενες ως προστατευόμενες πληροφορίες στην αρμόδια εποπτική αρχή ή στο αρμόδιο δικαστήριο, τα οποία οφείλουν να σταθμίσουν τα συγκρουόμενα δικαιώματα και συμφέροντα προκειμένου να καθορισθεί η έκταση του δικαιώματος προσβάσεως του υποκειμένου των δεδομένων που προβλέπεται στο άρθρο 15 του κανονισμού αυτού.

(υπογραφές)

( *1 ) Γλώσσα διαδικασίας: η γερμανική.

Το Eureka προσθέτει συνδέσμους…