–

CK képviseletében C. Wirthensohn Rechtsanwalt,

–

a Dun & Bradstreet Austria GmbH képviseletében D. Cooper solicitor, A.‑S. Oberschelp de Meneses avocate, K. Van Quathem és B. Van Vooren advocaten,

–

a spanyol kormány képviseletében A. Ballesteros Panizo, meghatalmazotti minőségben,

–

a holland kormány képviseletében M. K. Bulterman és C. S. Schillemans, meghatalmazotti minőségben,

–

a lengyel kormány képviseletében B. Majczyna, meghatalmazotti minőségben,

–

az Európai Bizottság képviseletében A. Bouchagiar, F. Erlbacher és H. Kranenborg, meghatalmazotti minőségben,

1

A jelen előzetes döntéshozatal iránti kérelem egyrészt a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet, a továbbiakban: GDPR) 15. cikke (1) bekezdésének h) pontja és 22. cikke, továbbá a nem nyilvános know‑how és üzleti információk (üzleti titkok) jogosulatlan megszerzésével, hasznosításával és felfedésével szembeni védelemről szóló, 2016. június 8‑i (EU) 2016/943 európai parlamenti és tanácsi irányelv 2. cikke 1. pontjának értelmezésére vonatkozik.

2

E kérelmet a CK és a Magistrat der Stadt Wien (Bécs város önkormányzata, Ausztria) között egy olyan bírósági határozat végrehajtása tárgyában folyamatban lévő jogvita keretében terjesztették elő, amely a Bisnode Austria GmbH‑t (jelenleg Dun & Bradstreet Austria GmbH, a továbbiakban: D & B), egy hitelképesség‑értékelésre szakosodott vállalkozást arra kötelezett, hogy CK részére érthető információkat szolgáltasson a személyes adatait érintő profilalkotás során alkalmazott logikára vonatkozóan.

3

A GDPR (4), (11), (58), (63) és (71) preambulumbekezdésének szövege a következő:

[…]

[…]

[…]

[…]

4

E rendelet „Fogalommeghatározások” című 4. cikkének 4. pontja értelmében:

„E rendelet alkalmazásában:

[…]

5

Az említett rendelet „Átlátható tájékoztatás, kommunikáció és az érintett jogainak gyakorlására vonatkozó intézkedések” című 12. cikkének (1) bekezdése kimondja:

„Az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15–22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. […]”

6

Ugyanezen rendelet 13. cikke, amely a személyes adatok érintettől történő gyűjtése esetén rendelkezésre bocsátandó információkra vonatkozik, illetve e rendelet 14. cikke, amely a személyes adatoknak nem az érintettől való megszerzése esetén rendelkezésre bocsátandó információkra vonatkozik, a (2) bekezdésének f) pontjában, illetve (2) bekezdésének g) pontjában előírja, hogy az adatkezelő az érintett rendelkezésére bocsátja az érintettre nézve tisztességes és átlátható adatkezelés biztosításához szükséges információkat, különösen „a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal tény[ét], ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk[at], hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír”.

7

A GDPR „Az érintett hozzáférési joga” címet viselő 15. cikke a következőképpen rendelkezik:

„(1)   Az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van‑e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon:

[…]

[…]

(3)   Az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri.

(4)   A (3) bekezdésben említett, másolat igénylésére vonatkozó jog nem érintheti hátrányosan mások jogait és szabadságait.”

8

Az említett rendelet „Automatizált döntéshozatal egyedi ügyekben, beleértve a profilalkotást” című 22. cikke a következőket írja elő:

„(1)   Az érintett jogosult arra, hogy ne terjedjen ki rá az olyan, kizárólag automatizált adatkezelésen – ideértve a profilalkotást is – alapuló döntés hatálya, amely rá nézve joghatással járna vagy őt hasonlóképpen jelentős mértékben érintené.

(2)   Az (1) bekezdés nem alkalmazandó abban az esetben, ha a döntés:

(3)   A (2) bekezdés a) és c) pontjában említett esetekben az adatkezelő köteles megfelelő intézkedéseket tenni az érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében, ideértve az érintettnek legalább azt a jogát, hogy az adatkezelő részéről emberi beavatkozást kérjen, álláspontját kifejezze, és a döntéssel szemben kifogást nyújtson be.

(4)   A (2) bekezdésben említett döntések nem alapulhatnak a személyes adatoknak a 9. cikk (1) bekezdésében említett különleges kategóriáin, kivéve, ha a 9. cikk (2) bekezdésének a) vagy g) pontja alkalmazandó, és az érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében megfelelő intézkedések megtételére került sor.”

9

Az említett rendelet „Korlátozások” címet viselő 23. cikke értelmében:

„(1)   Az adatkezelőre vagy adatfeldolgozóra alkalmazandó uniós vagy tagállami jog jogalkotási intézkedésekkel korlátozhatja a 12–22. cikkben és a 34. cikkben foglalt, valamint a 12–22. cikkben meghatározott jogokkal és kötelezettségekkel összhangban lévő rendelkezései tekintetében az 5. cikkben foglalt jogok és kötelezettségek hatályát, ha a korlátozás tiszteletben tartja az alapvető jogok és szabadságok lényeges tartalmát, valamint az alábbiak védelméhez szükséges és arányos intézkedés egy demokratikus társadalomban:

[…]

i) az érintett védelme vagy mások jogainak és szabadságainak védelme;

[…]

(2)   Az (1) bekezdésben említett jogalkotási intézkedések adott esetben részletes rendelkezéseket tartalmaznak legalább:

10

A GDPR „A felügyeleti hatóság létrehozására vonatkozó szabályok” című 54. cikkének (2) bekezdése kimondja:

„Az uniós vagy tagállami jognak megfelelően mindegyik felügyeleti hatóság tagját vagy tagjait és személyzetét a feladataik ellátása és hatáskörük gyakorlása során tudomásukra jutott bármely bizalmas információ tekintetében hivatali idejük alatt és annak lejártát követően is szakmai titoktartási kötelezettség terheli. Hivatali idejük alatt ez a szakmai titoktartási kötelezettség különösen vonatkozik a természetes személyek által e rendelet megsértését illetően tett bejelentésekre.”

11

A GDPR „Hatáskörök” című 58. cikke (1) bekezdésének e) pontja a következőképpen rendelkezik:

„A felügyeleti hatóság vizsgálati hatáskörében eljárva:

12

A 2016/943 irányelv (35) preambulumbekezdése kimondja:

„[…] az irányelv ezért nem érintheti [a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24‑i 95/46/EK európai parlamenti és tanácsi irányelvben (HL 1995. L 281., 31. o.; magyar nyelvű különkiadás 13. fejezet, 15. kötet, 355. o.)] irányelvben megállapított jogokat és kötelezettségeket, így különösen az érintettnek a feldolgozás tárgyát képező személyes adataihoz való hozzáféréssel, illetve a hiányos vagy pontatlan adatok helyesbítésével, törlésével vagy zárolásával kapcsolatos jogait […]”.

13

Ezen irányelv 2. cikkének 1. pontja a következőképpen rendelkezik:

„E rendelet alkalmazásában:

14

Az említett irányelvnek „Az üzleti titkok bizalmas jellegének megőrzése a bírósági eljárások folyamán” című 9. cikke a következőképpen rendelkezik:

„(1)   A tagállamok biztosítják, hogy a felek, ügyvédeik vagy egyéb képviselőik, a bírósági tisztviselők, a tanúk, a szakértők és az üzleti titok jogosulatlan megszerzésével, hasznosításával, illetve felfedésével összefüggő bírósági eljárásokban részt vevő egyéb személyek, illetve az említett bírósági eljárások részét képező dokumentumokhoz hozzáférő személyek részére az általuk az eljárásban való részvételük vagy a dokumentumokhoz való hozzáférésük révén megismert, és az illetékes bíróságok által, az érdekelt fél megfelelően indokolt kérelmére válaszul bizalmasnak minősített üzleti titok vagy feltételezett üzleti titok hasznosítása vagy felfedése ne legyen engedélyezett. A tagállamok az ilyen intézkedések hivatalból való meghozatalát is lehetővé tehetik az illetékes bíróságok számára.

Az első albekezdésben említett kötelezettség a bírósági eljárás lezárultát követően is hatályban marad. E kötelezettség megszűnik azonban az alábbi körülmények bármelyikének fennállta esetén:

(2)   A tagállamok biztosítják továbbá, hogy valamely fél megfelelően indokolt kérelme alapján az illetékes bíróságok megtehessék a szükséges egyedi intézkedéseket az üzleti titok jogosulatlan megszerzésével, hasznosításával vagy felfedésével kapcsolatos bírósági eljárásban felhasznált vagy hivatkozott üzleti titkok vagy feltételezett üzleti titkok bizalmas jellegének megőrzése érdekében. A tagállamok az ilyen intézkedések hivatalból való meghozatalát is lehetővé tehetik az illetékes bíróságok számára.

Az első albekezdésben említett intézkedéseknek legalább az alábbi lehetőségekre kell kiterjedniük:

A második albekezdés a) és b) pontjában említett személyek száma nem lehet nagyobb annál, mint ami a bírósági eljárásban részt vevő felek hatékony jogorvoslathoz és tisztességes eljáráshoz való jogának biztosításához szükséges, és e személyek közé kell tartoznia legalább egy természetes személynek mindegyik fél részéről, valamint a bírósági eljárásban részt vevő felek ügyvédeinek vagy egyéb képviselőinek.

(3)   A (2) bekezdésben említett intézkedésekről való döntésnél és az intézkedések arányosságának vizsgálatakor az illetékes bíróságnak figyelembe kell vennie a hatékony jogorvoslathoz és a tisztességes eljáráshoz való jog biztosításának szükségességét, a felek és – adott esetben – harmadik személyek jogos érdekeit, valamint az említett intézkedések elrendelése vagy alkalmazásuk elutasítása esetén a feleket és – adott esetben – harmadik személyeket érő lehetséges sérelmet.

(4)   A személyes adatok (1), (2) vagy (3) bekezdés alapján történő feldolgozásának a [95/46] irányelvvel összhangban kell történnie.”

15

Az 1999. augusztus 17‑i Datenschutzgesetz (a személyes adatok védelméről szóló törvény) alapeljárás időpontjában alkalmazandó változata (a továbbiakban: DSG) 4. §‑ának (6) bekezdése főszabály szerint kizárja az érintettnek a GDPR 15. cikkében előírt hozzáférési jogát, amennyiben e hozzáférés megadása az adatkezelő, illetve harmadik fél üzleti vagy üzemi titkát veszélyeztetné.

16

Egy mobiltelefon‑szolgáltató megtagadta CK‑tól egy havi tíz eurós fizetési kötelezettséggel járó mobiltelefon‑szerződés megkötését vagy meghosszabbítását, arra hivatkozva, hogy a D & B által végzett automatikus hitelképesség‑értékelés alapján CK nem rendelkezik elegendő pénzügyi fizetőképességgel.

17

CK kérelmet nyújtott be az osztrák adatvédelmi hatósághoz, amely hatóság arra kötelezte a D & B‑t, hogy érthető információkat nyújtson CK‑nak a rá vonatkozó személyes adatokon alapuló automatizált döntéshozatalának alapjául szolgáló logikára vonatkozóan.

18

A D & B a Bundesverwaltungsgericht (szövetségi közigazgatási bíróság, Ausztria) előtt megtámadta e hatóság határozatát, úgy érvelve lényegében, hogy a védett üzleti titok miatt nem kell CK‑val a már közöltekhez képest további információkat közölnie.

19

E bíróság 2019. október 23‑i határozatában (a továbbiakban: 2019. október 23‑i határozat) megállapította, hogy a D & B megsértette CK‑nak a GDPR 15. cikke (1) bekezdésének h) pontja szerinti hozzáférési jogát, mivel nem közölt vele érthető információkat a CK személyes adataira vonatkozó automatizált döntéshozatal alapjául szolgáló logikáról, vagy legalábbis nem indokolta meg kellőképpen, hogy miért nem tudta közölni ezeket az információkat.

20

Közelebbről, e határozatban a Bundesverwaltungsgericht (szövetségi közigazgatási bíróság) megállapította, hogy a D & B nem szolgáltatott elegendő magyarázatot CK‑nak ahhoz, hogy utóbbi megérthesse, hogyan állapították meg a jövőbeli magatartásának valószínűségére vonatkozó előrejelzést („score”), amelyet e vállalkozás azzal a pontosítással közölt vele, hogy e „score” megszerzése érdekében CK bizonyos szociodemográfiai adatait „egyenértékű módon összesítették”.

21

A 2019. október 23‑i határozat jogerős és az osztrák jog szerint végrehajtható. Mindazonáltal CK e határozat végrehajtása iránti kérelmét Bécs város önkormányzata, a végrehajtó hatóság elutasította azzal az indokkal, hogy a D & B már kellőképpen eleget tett tájékoztatási kötelezettségének, noha e társaság ugyanezen határozat elfogadását követően semmilyen további információt nem szolgáltatott.

22

CK Bécs város önkormányzatának határozatával szemben keresetet nyújtott be a Verwaltungsgericht Wienhez (bécsi közigazgatási bíróság, Ausztria), a kérdést előterjesztő bírósághoz a 2019. október 23‑i határozat végrehajtása érdekében.

23

A kérdést előterjesztő bíróság úgy véli, hogy az osztrák jog értelmében köteles végrehajtani ez utóbbi határozatot, ami magában foglalja azon konkrét cselekmények meghatározását, amelyeket a D & B e határozat értelmében köteles elvégezni.

24

A kérdést előterjesztő bíróság, mivel úgy ítélte meg, hogy e meghatározást csak a szükséges szakértelemmel rendelkező szakértő végezheti el, szakértőt rendelt ki, aki úgy találta, hogy a D & B köteles a CK‑val szemben fennálló kötelezettségeinek teljesítése érdekében a következő minimális információkat megadni:

25

Annak biztosítása érdekében, hogy ezen információk közlését követően CK ellenőrizhesse e minimális információk pontosságát, a D & B‑nek egy listát is szolgáltatnia kell, amely meghatározza más személyek CK „score” megállapítását megelőző hat hónapot és az azt követő hat hónapot lefedő és ugyanezen számítási szabály alapján megállapított „score”‑ját („scoring”).

26

A kérdést előterjesztő bíróság szerint kizárólag az említett szakértő által azonosított minimális információk közlése teszi lehetővé az adatkezelő által a GDPR 15. cikke (1) bekezdésének h) pontja alapján szolgáltatott információk következetességének és pontosságának ellenőrzését.

27

A jelen ügyben több valószínűsítő körülmény is egyértelműen azt mutatja, hogy a D & B által szolgáltatott információk ellentétesek a tényekkel. Ugyanis, míg a CK‑val közölt információk, köztük különösen a megállapított „score” igen jó fizetőképességet tanúsítottak, a tényleges profilalkotás alapján úgy lehetett tekinteni, hogy a CK nem fizetőképes, többek között a mobiltelefon‑szerződés alapján fizetendő havi tíz euró összeg tekintetében.

28

A kérdést előterjesztő bíróság úgy véli, hogy felmerül tehát a kérdés, hogy a GDPR 15. cikke (1) bekezdésének h) pontja biztosítja‑e az érintett számára, hogy ellenőrizhesse az adatkezelő által közölt információk pontosságát.

29

Abban az esetben, ha a GDPR 15. cikke (1) bekezdésének h) pontja nem biztosítja ezen ellenőrzést, az érintettnek a személyes adataihoz és a rendeletben előírt egyéb információkhoz való hozzáféréshez való joga teljesen kiüresedne, és feleslegessé válna, annál is inkább, mivel ebben az esetben minden egyes adatkezelőnek módjában állna téves információkat szolgáltatni.

30

Felmerül továbbá a kérdés, hogy az üzleti titok fennállására alapított kivétel alkalmas‑e arra, és ha igen, milyen mértékben, hogy korlátozza ezt a hozzáférési jogot, amelyet a GDPR 15. cikke (1) bekezdése h) pontjának és 22. cikkének együttesen értelmezett rendelkezései biztosítanak.

31

A 2016/943 irányelv 9. cikkében előírt szabályok fényében kell értékelni, hogy elképzelhető‑e, hogy csak az eljáró hatósággal vagy bírósággal közlik ezen irányelv 2. cikkének 1. pontja értelmében vett „üzleti titoknak” minősülő információkat annak érdekében, hogy e hatóság vagy bíróság önállóan megvizsgálja, hogy ténylegesen fennáll‑e ilyen üzleti titok, és hogy az adatkezelő által a GDPR 15. cikkének (1) bekezdése értelmében szolgáltatott ezen információk megfelelnek‑e a szóban forgó helyzet valóságának.

32

Végül meg kell vizsgálni, hogy az olyan rendelkezés, mint a DSG 4. §‑ának (6) bekezdése, amely főszabály szerint kizárja az érintettnek a GDPR 15. cikkében előírt hozzáférési jogát abban az esetben, ha e hozzáférés veszélyeztetné az adatkezelő vagy valamely harmadik fél üzleti vagy vállalati titkait, összeegyeztethetőnek tekinthető‑e a GDPR 15. cikke (1) bekezdésének és 22. cikke (3) bekezdésének együttesen értelmezett rendelkezéseivel.

33

E körülmények között a Verwaltungsgericht Wien (bécsi közigazgatási bíróság) úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából a következő kérdéseket terjeszti a Bíróság elé:

34

2022. december 8‑i határozatával a Bíróság elnöke a C‑252/21. sz. SCHUFA Holdings és társai (Scoring) ügyben az eljárást befejező határozat meghozataláig felfüggesztette a jelen eljárást.

35

A Bíróság elnöke 2023. december 13‑i határozatával összhangban a Bíróság Hivatala értesítette a kérdést előterjesztő bíróságot a 2023. december 7‑iSCHUFA Holding és társai (Scoring) ítéletről (C‑634/21, EU:C:2023:957), felhíva e bíróságot arra, hogy jelezze, hogy ezen ítéletre tekintettel fenn kívánja‑e tartani az előzetes döntéshozatal iránti kérelmét.

36

A Bíróság Hivatalához 2024. január 29‑én érkezett levelében e bíróság jelezte, hogy fenntartja előzetes döntéshozatal iránti kérelmét, mivel a 2023. december 7‑iSCHUFA Holding és társai (Scoring) ítélet (C‑634/21, EU:C:2023:957) nem teszi lehetővé az általa a jelen ügyben előterjesztett kérdések megválaszolását.

37

A Bíróság elnöke 2024. február 14‑i határozatával elrendelte a jelen ügyben az eljárás folytatását.

38

Első és második kérdésével, valamint harmadik kérdésének a) pontjával – amelyeket együttesen kell megvizsgálni – a kérdést előterjesztő bíróság lényegében arra keresi a választ, hogy a GDPR 15. cikke (1) bekezdésének h) pontját úgy kell‑e értelmezni, hogy az e rendelet 22. cikkének (1) bekezdése értelmében vett automatizált döntéshozatal – ideértve a profilalkotást is – esetén az érintett az adatkezelőtől kérheti „az alkalmazott logikára […] vonatkozó érthető információk” címén az e személyre vonatkozó személyes adatoknak egy meghatározott eredmény – mint például fizetőképességi profil – elérése céljából, automatizált módon történő felhasználása során konkrétan alkalmazott eljárások és elvek kimerítő magyarázatát.

39

A Bíróság állandó ítélkezési gyakorlata szerint valamely uniós jogi rendelkezés értelmezéséhez nemcsak annak kifejezéseit, hanem szövegkörnyezetét, és annak a szabályozásnak a célkitűzéseit is figyelembe kell venni, amelynek az részét képezi (2023. május 4‑iÖsterreichische Datenschutzbehörde és CRIF ítélet, C‑487/21, EU:C:2023:369, 19. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

40

Először is, a GDPR 15. cikke (1) bekezdése h) pontjának szövegét illetően meg kell állapítani egyrészt, hogy az e rendelkezés értelmében vett „érthető információk” fogalmának e rendelkezés különböző nyelvi változataiban való meghatározása eltér egymástól, és a francia nyelvi változathoz („utiles”) hasonlóan bizonyos nyelvek a funkciót (a holland nyelvi változatban „nuttige”, a portugál nyelvi változatban „úteis”) vagy a nyújtandó tájékoztatás relevanciáját (a román nyelvi változatban „pertinente”) részesítik előnyben, míg mások nagyobb hangsúlyt fektetnek azok jelentőségére (a spanyol nyelvi változatban „significativa”, a lengyel nyelvi változatban „istotne”). Végül az említett rendelkezésnek mind a német, mind az angol nyelvi változatában elfogadott kifejezés („aussagekräftig”, illetve „meaningful”) úgy is értelmezhető, mint amely az említett információk érthetőségére utal, és úgy is értelmezhető, mint amely azok bizonyos minőségére vonatkozik.

41

Márpedig a különböző nyelvi változatokban elfogadott eltérő meghatározásokat úgy kell értelmezni, hogy azok kiegészítik az előző pontban kifejtett jelentéseket, amit figyelembe kell venni a GDPR 15. cikke (1) bekezdésének h) pontja értelmében vett „az alkalmazott logikára […] vonatkozó érthető információk” fogalmának értelmezése során, amint arra a főtanácsnok indítványának 65. pontjában lényegében rámutatott.

42

Másrészt az általános megfogalmazására tekintettel az e rendelkezésben szereplő, az automatizált döntéshozatal esetében „alkalmazott logikára” való hivatkozás, amely az említett „érthető információk” tárgyát képezi, a személyes és egyéb adatok meghatározott eredmény automatizált módon történő elérése céljából történő felhasználására vonatkozó „logikák” széles körét fedheti le. Ezt az értelmezést az említett rendelkezés egyes nyelvi változatai is megerősítik, amelyek egymást kiegészítő jelleggel a „logika” fogalma általánosan elfogadott jelentésének különböző aspektusaira vonatkozó kifejezéseket használnak. Így például a cseh és a lengyel nyelvi változatban a „postupu”, illetve a „zasady” kifejezésekre hivatkoznak, amelyek „eljárásnak” és „elveknek” fordíthatók.

43

Meg kell tehát állapítani, hogy a GDPR 15. cikke (1) bekezdése h) pontjának szövege minden releváns információra vonatkozik, amely a személyes adatok meghatározott eredmény elérése érdekében, automatizált módon történő felhasználásának eljárására és elveire vonatkozik.

44

Ezt követően, ami azt a szövegkörnyezetet illeti, amelybe a GDPR 15. cikke (1) bekezdésének h) pontjában szereplő, „az alkalmazott logikára […] vonatkozó érthető információk” fogalma illeszkedik, először is hangsúlyozni kell, hogy ezen információk csak egy részét képezik az e cikkben előírt hozzáférési jog által érintett információknak, amely jog a szóban forgó adatkezelés jelentőségére és az érintettre gyakorolt várható következményeire vonatkozó információkat is érinti.

45

Bár ez utóbbi információk – amelyeket a 95/46 irányelv 29. cikkével létrehozott munkacsoport 2017. október 3‑i, az (EU) 2016/679 rendelet szerinti automatizált egyedi döntéshozatalról és profilalkotásról szóló iránymutatásának átdolgozott és 2018. február 6‑án elfogadott változata szerint „valós és kézzelfogható példákkal” kell kiegészíteni ahhoz, hogy hasznosak és érthetőek legyenek – nem képezik a kérdést előterjesztő bíróság által feltett kérdések tárgyát, azokat mindazonáltal figyelembe kell venni azon összefüggés elemeként, amelybe az „alkalmazott logikára […] vonatkozó érthető információk” fogalma illeszkedik.

46

Másodszor, tekintettel arra, hogy „az alkalmazott logikára […] vonatkozó érthető információk” fogalma a GDPR 13. cikke (2) bekezdésének f) pontjában és 14. cikke (2) bekezdésének g) pontjában is szerepel, a Bíróság már megállapította, hogy az e rendelet 22. cikkének (1) bekezdése értelmében vett automatizált döntéshozatal esetén az e rendelet 15. cikke (1) bekezdésének h) pontjában foglalt, az ilyen információkhoz való hozzáféréshez való jog a GDPR 13. cikke (2) bekezdésének f) pontja és 14. cikke (2) bekezdésének g) pontja alapján az adatkezelőre háruló további tájékoztatási kötelezettséggel egységet alkot (lásd ebben az értelemben: 2023. december 7‑iSCHUFA Holding és társai [Scoring] ítélet, C‑634/21, EU:C:2023:957, 56. pont).

47

Harmadszor, amint azt a főtanácsnok az indítványának 58–60. pontjában lényegében kifejtette, az automatizált döntéshozatal esetén biztosított hozzáférési jogok rendszertani értelmezése keretében figyelembe kell venni a Bíróságnak az adatkezelő által a GDPR 15. cikkének (3) bekezdése alapján tiszteletben tartandó követelményekre vonatkozó ítélkezési gyakorlatát.

48

Így figyelembe kell venni többek között azt, hogy a közölt információk átláthatóságára vonatkozóan a GDPR 12. cikkének (1) bekezdésében előírt követelmény az említett 15. cikkben említett valamennyi adatra és információra vonatkozik, beleértve az automatizált döntéshozatalhoz kapcsolódó adatokat is.

49

Annak biztosítása érdekében, hogy az érintett teljes mértékben megérthesse az adatkezelőtől kapott tájékoztatást, az említett 12. cikk (1) bekezdése arra kötelezi az adatkezelőt, hogy tegye meg a megfelelő intézkedéseket, különösen annak érdekében, hogy az érintett részére ezeket az adatokat és információkat tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa (lásd ebben az értelemben: (2023. május 4‑iÖsterreichische Datenschutzbehörde és CRIF ítélet, C‑487/21, EU:C:2023:369, 38. pont).

50

Azon szövegkörnyezet vizsgálata, amelybe a GDPR 15. cikke (1) bekezdésének h) pontja illeszkedik, ily módon megerősíti az e rendelkezés szövegének elemzéséből következő azon értelmezést, amely szerint az e rendelkezés értelmében vett, az automatizált döntéshozatalhoz „alkalmazott logikára […] vonatkozó érthető információk” a személyes adatok meghatározott eredmény elérése céljából, automatizált módon történő felhasználása során alkalmazott eljárásokkal és elvekkel kapcsolatos valamennyi releváns információra vonatkoznak, az átláthatósági kötelezettség pedig azt is megköveteli, hogy ezen információkat tömör, átlátható, érthető és könnyen hozzáférhető módon nyújtsák.

51

Végül a GDPR céljait illetően emlékeztetni kell arra, hogy e rendelet célja többek között magas szintű védelem biztosítása a természetes személyek alapvető jogainak és szabadságainak, különösen az EUMSZ 16. cikkben biztosított személyes adatok védelméhez való jognak, amelyet a Charta 8. cikke alapvető jogként biztosít, kiegészítve a 7. cikkében biztosított, a magánélet tiszteletben tartásához való jogot (lásd ebben az értelemben: 2024. október 4‑iSchrems [Nagy nyilvánosság előtti adatközlés] ítélet, C‑446/21, EU:C:2024:834, 45. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

52

A GDPR célja, amint azt egyébként a (11) preambulumbekezdése pontosítja, ekképpen az érintettek jogainak megerősítése és részletes meghatározása (2023. május 4‑iÖsterreichische Datenschutzbehörde és CRIF ítélet, C‑487/21, EU:C:2023:369, 33. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

53

Különösen a GDPR 15. cikkében biztosított hozzáférési jogot illetően, a Bíróság ítélkezési gyakorlatából kitűnik, hogy e jognak lehetővé kell tennie az érintett számára, hogy megbizonyosodjon arról, hogy a rá vonatkozó személyes adatok helyesek, és azokat jogszerűen kezelik (2023. május 4‑iÖsterreichische Datenschutzbehörde és CRIF ítélet, C‑487/21, EU:C:2023:369, 34. pont; 2023. október 26‑iFT [Az egészségügyi dokumentáció másolatai] ítélet, C‑307/22, EU:C:2023:811, 73. pont).

54

E hozzáférési jog szükséges ahhoz, hogy az érintett adott esetben gyakorolhassa a helyesbítéshez való jogát, a törléshez való jogát („az elfeledtetéshez való jog”) és az adatkezelés korlátozásához való jogát, amely jogokat a GDPR 16., 17., illetve 18. cikke biztosítja számára, továbbá a személyes adatok kezelése elleni tiltakozáshoz való, a a GDPR 21. cikkében biztosított jogát, valamint a GDPR 79. és 82. cikkében biztosított kártérítési igényét, amennyiben kár érte (2023. május 4‑iÖsterreichische Datenschutzbehörde és CRIF ítélet, C‑487/21, EU:C:2023:369, 35. pont).

55

Közelebbről, a kizárólag automatizált adatkezelésen alapuló döntéshozatal sajátos összefüggésében az érintettnek a GDPR 15. cikke (1) bekezdésének h) pontjában előírt információkhoz való hozzáféréshez való jogának elsődleges célja annak lehetővé tétele, hogy az érintett hatékonyan gyakorolhassa az e rendelet 22. cikkének (3) bekezdésében elismert jogait, nevezetesen a döntéssel kapcsolatos álláspontjának kifejezésére és annak megtámadására vonatkozó jogot.

56

Ha ugyanis az automatizált döntéssel – ideértve a profilalkotást is – érintett személyek nem lennének abban a helyzetben, hogy az álláspontjuk kifejtése vagy a döntés megtámadása előtt megértsék az e döntéshez vezető okokat, e jogok nem tölthetnék be teljes mértékben az e személyeknek a személyes adatok automatizált kezeléséből eredő, a jogaikat és szabadságaikat érintő különleges kockázatokkal szembeni védelmére irányuló céljukat (lásd ebben az értelemben: 2023. december 7‑iSCHUFA Holding és társai [Scoring] ítélet, C‑634/21, EU:C:2023:957, 57. pont).

57

E tekintetben a GDPR (71) preambulumbekezdéséből kitűnik, hogy amennyiben az érintettre kiterjed egy kizárólag automatizált adatkezelésen alapuló, őt jelentős mértékben érintő döntés hatálya, jogosultnak kell lennie arra, hogy magyarázatot kapjon e döntéssel kapcsolatban. Amint arra a főtanácsnok az indítványának 67. pontjában rámutatott, meg kell tehát állapítani, hogy a GDPR 15. cikke (1) bekezdésének h) pontja valódi jogot biztosít az érintett számára a vele szembeni automatizált döntéshozatal alapjául szolgáló mechanizmus működésére és e döntés eredményére vonatkozó magyarázathoz.

58

A GDPR, és különösen 15. cikke (1) bekezdése h) pontja céljainak vizsgálatából kitűnik, hogy az e rendelkezés értelmében vett, az automatizált döntéshozatalhoz „alkalmazott logikára […] vonatkozó érthető információk” megszerzéséhez való jogot úgy kell értelmezni, mint az érintettre vonatkozó személyes adatoknak egy meghatározott eredmény – mint például fizetőképességi profil – elérése céljából, automatizált módon történő felhasználása során konkrétan alkalmazott eljárások és elvek magyarázatához való jogot. Annak érdekében, hogy az érintett hatékonyan gyakorolhassa a GDPR és különösen annak 22. cikke (3) bekezdése szerinti jogait, ezt a magyarázatot releváns információk felhasználásával, tömör, átlátható, érthető és könnyen hozzáférhető módon kell megadni.

59

Nem felelhet meg e követelményeknek sem egy összetett matematikai képlet, például algoritmus puszta közlése, sem pedig az automatizált döntéshozatal valamennyi lépésének részletes leírása, mivel e módok egyike sem minősül kellően tömör és érthető magyarázatnak.

60

Amint ugyanis az a jelen ítélet 45. pontjában említett, az (EU) 2016/679 rendelet szerinti automatizált egyedi döntéshozatalról és profilalkotásról szóló iránymutatás 28. oldalából kitűnik, egyrészt az adatkezelőnek egyszerű módokat kell találnia arra, hogy az érintettet tájékoztassa az automatizált döntés okáról vagy az alapjául szolgáló kritériumokról. Másrészt a GDPR megköveteli, hogy az említett adatkezelő érthető információkkal szolgáljon az e határozat meghozatalakor alkalmazott logikáról, azonban „nem feltétlenül köteles az alkalmazott algoritmusok összetett magyarázatára vagy a teljes algoritmus megosztására”.

61

Így a GDPR 15. cikke (1) bekezdésének h) pontja értelmében vett, az automatizált döntéshozatalkor „alkalmazott logikára […] vonatkozó érthető információk[nak]” oly módon kell leírniuk az eljárást és a konkrétan alkalmazott elveket, hogy az érintett megérthesse, hogy a személyes adatait milyen módon használták fel a szóban forgó automatizált döntéshozatal során, anélkül hogy az automatizált döntéshozatal keretében elvégzendő műveletek összetettsége mentesíthetné az adatkezelőt a tájékoztatási kötelezettsége alól.

62

Különösen az olyan profilalkotást illetően, mint amelyről az alapügyben szó van, a kérdést előterjesztő bíróság úgy tekintheti többek között, hogy kellően átlátható és érthető az érintett arról való tájékoztatása, hogy a figyelembe vett személyes adatok eltérései milyen mértékben vezettek volna eltérő eredményre.

63

Mindemellett pontosítani kell továbbá, hogy ami azon kérdést illeti, hogy a szolgáltatott információknak lehetővé kell‑e tenniük az érintett számára az automatizált döntéshozatal alapjául szolgáló, rá vonatkozó személyes adatok pontosságának ellenőrzését, az említett adatokhoz való hozzáférés joga nem a GDPR 15. cikke (1) bekezdése h) pontjának, hanem ugyanezen bekezdés bevezető mondatának hatálya alá tartozik, amely biztosítja az érintett számára, hogy meggyőződhessen ezen adatok pontosságáról, amint az a jelen ítélet 53. pontjában hivatkozott ítélkezési gyakorlatból kitűnik.

64

Végül, ami a kérdést előterjesztő bíróság azon állítását illeti, amely szerint a D & B által a CK részére a GDPR 15. cikke (1) bekezdésének h) pontja alapján szolgáltatott információk ellentétesek a tényekkel, mivel a „tényleges” profilalkotás annak megállapításához vezetett, hogy CK nem fizetőképes, annak ellenére, hogy az említett információk ennek ellenkezőjét sugallják, meg kell állapítani, hogy amennyiben e bíróság szerint az így megállapított összeegyeztethetetlenség abból ered, hogy a D & B nem tájékoztatta CK‑t a vele szemben a mobiltelefon‑vállalkozás nevében végzett azon profilalkotásról, amely alapján ez utóbbi megtagadta a szerződés megkötését vagy meghosszabbítását CK‑val, azt a fizetőképességi profilhoz való hozzáférés ily módon megállapított jogával kell orvosolni. E tekintetben a Bíróság ítélkezési gyakorlatából kitűnik, hogy a maga az adatkezelő által létrehozott személyes adatok a GDPR 14. cikkének hatálya alá tartoznak (lásd ebben az értelemben: 2024. november 28‑iMásdi ítélet, C‑169/23, EU:C:2024:988, 48. pont).

65

Ezzel szemben az ilyen „tényleges” profilalkotás eredménye – feltéve, hogy bizonyítást nyer – és a D & B által CK‑val közölt, és e társaság szerint a CK‑ra vonatkozó adatok „egyenértékű módon történt összesítése” révén kapott eredmény közötti különbségek magyarázata az így létrehozott profilalkotás során „alkalmazott logikára […] vonatkozó érthető információk” közé tartozik. A jelen ítélet 58. pontjában megállapítottaknak megfelelően tehát a D & B köteles tömör, átlátható, érthető és könnyen hozzáférhető módon kifejteni azokat az eljárásokat és elveket, amelyek alapján a „tényleges” profilalkotás eredményéhez érkeztek.

66

A fentiek összességéből az következik, hogy az első és a második kérdésre, valamint a harmadik kérdés a) pontjára azt a választ kell adni, hogy a GDPR 15. cikke (1) bekezdésének h) pontját úgy kell értelmezni, hogy az e rendelet 22. cikkének (1) bekezdése értelmében vett automatizált döntéshozatal – ideértve a profilalkotást is – esetén az érintett az adatkezelőtől kérheti „az alkalmazott logikára […] vonatkozó érthető információk” címén a rá vonatkozó személyes adatoknak egy meghatározott eredmény – mint például fizetőképességi profil – elérése céljából, automatizált módon történő felhasználása során konkrétan alkalmazott eljárások és elvek releváns információk felhasználásával, tömör, átlátható, érthető és könnyen hozzáférhető módon történő magyarázatát.

67

A harmadik kérdés b) és c) pontjával, a negyedik kérdés a) és b) pontjával, valamint az ötödik és a hatodik kérdéssel, amelyeket együttesen kell vizsgálni, a kérdést előterjesztő bíróság lényegében arra vár választ, hogy a GDPR 15. cikke (1) bekezdésének h) pontját úgy kell‑e értelmezni, hogy abban az esetben, ha az adatkezelő úgy ítéli meg, hogy az érintettnek az e rendelkezés alapján nyújtandó információk harmadik személyek e rendelet által védett adatait vagy a 2016/943 irányelv 2. cikkének 1. pontja szerinti üzleti titkokat tartalmaznak, ezen adatkezelő köteles ezeket az állítólagosan védett információkat a felügyeleti hatósággal vagy az illetékes bírósággal közölni, amelyek feladata a szóban forgó jogok és érdekek mérlegelése az érintett GDPR 15. cikke szerinti hozzáférési joga terjedelmének meghatározása érdekében.

68

E tekintetben emlékeztetni kell arra, hogy a GDPR (4) preambulumbekezdése szerint a személyes adatok védelméhez való jog nem abszolút jog, azt az arányosság elvével összhangban más alapvető jogokkal egyensúlyba kell hozni. Így a GDPR minden alapvető jogot tiszteletben tart, és szem előtt tartja a Chartában elismert és a Szerződésekben rögzített szabadságokat és elveket (2023. október 26‑iFT [Az egészségügyi dokumentáció másolatai] ítélet, C‑307/22, EU:C:2023:811, 59. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

69

Ezen túlmenően e rendelet (63) preambulumbekezdése rámutat, hogy bármely érintettnek a róla gyűjtött személyes adatokhoz való hozzáférési joga nem érintheti hátrányosan mások jogait és szabadságait, beleértve az üzleti titkokat vagy a szellemi tulajdont, és különösen a szoftverek védelmét biztosító szerzői jogokat.

70

Ezek a megfontolások mindazonáltal nem eredményezhetik azt, hogy az érintettől minden információt megtagadnak. Ekképpen a GDPR 23. cikke (1) bekezdésének i) pontja lényegében úgy rendelkezik, hogy a többek között a GDPR 15. cikkében előírt kötelezettségek és jogok hatályának korlátozására akkor kerülhet sor, ha a korlátozás tiszteletben tartja az alapvető jogok és szabadságok lényeges tartalmát, valamint mások jogainak és szabadságainak védelméhez szükséges és arányos intézkedés egy demokratikus társadalomban.

71

A GDPR 15. cikkének (4) bekezdése szerinti másolat igényléséhez való szomszédos jogot illetően a Bíróság már kimondta, hogy az nem érintheti hátrányosan mások jogait és szabadságait, ideértve az üzleti titkokat vagy a szellemi tulajdont, különösen a szoftverek védelmét biztosító szerzői jogokat (lásd ebben az értelemben: 2023. május 4‑iÖsterreichische Datenschutzbehörde és CRIF ítélet, C‑487/21, EU:C:2023:369, 43. pont).

72

Ebben az összefüggésben a Bíróság rámutatott, hogy amennyiben egyrészt a személyes adatokhoz való teljes körű hozzáférés jogának gyakorlása, másrészt mások jogai vagy szabadságai között ellentét áll fenn, egyensúlyt kell teremteni a szóban forgó jogok és szabadságok között. Ahol lehetséges, a személyes adatok közlésének olyan módját kell választani, amely nem sérti mások jogait vagy szabadságait, de szem előtt kell tartani, hogy e megfontolások „nem eredményezhetik azt, hogy az érintettől minden információt megtagad[ja]nak”, mint az kitűnik a GDPR (63) preambulumbekezdéséből (2023. május 4‑iÖsterreichische Datenschutzbehörde és CRIF ítélet, C‑487/21, EU:C:2023:369, 44. pont).

73

Azon kérdést illetően, hogy a GDPR 15. cikke (1) bekezdésének h) pontjában biztosított hozzáférési jog miképp gyakorolható oly módon, hogy az tiszteletben tartsa mások jogait és szabadságait, emlékeztetni kell arra, hogy az ítélkezési gyakorlat szerint a nemzeti bíróság ítélheti úgy, hogy a felek vagy harmadik személyek személyes adatait közölni kell vele annak érdekében, hogy az ügy teljes ismeretében és az arányosság elvének tiszteletben tartása mellett súlyozhassa a fennálló érdekeket. Ezen értékelés adott esetben ahhoz vezethet, hogy e bíróság engedélyezi a vele ily módon közölt személyes adatoknak az ellenérdekű fél számára történő teljes vagy részleges hozzáférhetővé tételét, ha úgy ítéli meg, hogy az ilyen hozzáférhetővé tétel nem haladja meg azt a mértéket, amely a jogalanyoknak a Charta 47. cikkéből eredő jogai tényleges gyakorlásának biztosításához szükséges (2023. március 2‑iNorra Stockholm Bygg ítélet, C‑268/21, EU:C:2023:145, 58. pont).

74

Amint arra a főtanácsnok az indítványának 94. pontjában rámutatott, ezen ítélkezési gyakorlat teljes mértékben átültethető arra az esetre, amikor a GDPR 15. cikke (1) bekezdésének h) pontjában biztosított hozzáférési jog alapján az érintettnek nyújtandó információk sérthetik mások jogait és szabadságait, többek között azért, mert harmadik személyeknek az említett rendelet által védett személyes adatait vagy a 2016/943 irányelv 2. cikkének 1. pontja értelmében vett üzleti titkot tartalmaznak. Az említett információkat ebben az esetben is közölni kell a felügyeleti hatósággal vagy az illetékes bírósággal, amelyek feladata a szóban forgó jogok és érdekek mérlegelése az érintettnek a rá vonatkozó személyes adatokhoz való hozzáférési joga terjedelmének meghatározása érdekében.

75

Az ilyen eseti meghatározás szükségességére tekintettel a GDPR 15. cikke (1) bekezdésének h) pontjával ellentétes többek között az olyan rendelkezés alkalmazása, mint a DSG 4. §‑ának (6) bekezdése, amely főszabály szerint kizárja az érintettnek a GDPR 15. cikkében előírt hozzáférési jogát, abban az esetben, ha e hozzáférés az adatkezelő vagy valamely harmadik fél üzleti vagy vállalati titkait veszélyeztetné. E tekintetben emlékeztetni kell arra, hogy egy tagállam nem határozhatja meg végleges módon a szóban forgó jogok és érdekek közötti, az uniós jog által előírt, esetről esetre történő súlyozás eredményét (lásd ebben az értelemben: 2023. december 7‑iSCHUFA Holding és társai [Scoring] ítélet, C‑634/21, EU:C:2023:957, 70. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

76

A fentiek összességére tekintettel a harmadik kérdés b) és c) pontjára, a negyedik kérdés a) és b) pontjára, valamint az ötödik és a hatodik kérdésre azt a választ kell adni, hogy a GDPR 15. cikke (1) bekezdésének h) pontját úgy kell értelmezni, hogy abban az esetben, ha az adatkezelő úgy ítéli meg, hogy az érintettnek az e rendelkezés alapján nyújtandó információk harmadik személyek e rendelet által védett adatait vagy a 2016/943 irányelv 2. cikkének 1. pontja szerinti üzleti titkokat tartalmaznak, ezen adatkezelő köteles ezeket az állítólagosan védett információkat azon felügyeleti hatósággal vagy azon illetékes bírósággal közölni, amelyek feladata az érintett GDPR 15. cikke szerinti hozzáférési joga terjedelmének meghatározása érdekében a szóban forgó jogok és érdekek mérlegelése.

77

Mivel ez az eljárás az alapeljárásban részt vevő felek számára a kérdést előterjesztő bíróság előtt folyamatban lévő eljárás egy szakaszát képezi, ez a bíróság dönt a költségekről. Az észrevételeknek a Bíróság elé terjesztésével kapcsolatban felmerült költségek, az említett felek költségeinek kivételével, nem téríthetők meg.

A fenti indokok alapján, a Bíróság (első tanács) a következőképpen határozott: