–

CK, atstovaujamos Rechtsanwalt C. Wirthensohn,

–

Dun & Bradstreet Austria GmbH, atstovaujamos solicitor D. Cooper, advokatės A.‑S. Oberschelp de Meneses, advokatų K. Van Quathem ir B. Van Vooren,

–

Ispanijos vyriausybės, atstovaujamos A. Ballesteros Panizo,

–

Nyderlandų vyriausybės, atstovaujamos M. K. Bulterman ir C. S. Schillemans,

–

Lenkijos vyriausybės, atstovaujamos B. Majczyna,

–

Europos Komisijos, atstovaujamos A. Bouchagiar, F. Erlbacher ir H. Kranenborg,

1

Šis prašymas priimti prejudicinį sprendimą pateiktas, pirma, dėl 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1; toliau – BDAR) 15 straipsnio 1 dalies h punkto, 22 straipsnio ir, antra, dėl 2016 m. birželio 8 d. Europos Parlamento ir Tarybos direktyvos (ES) 2016/943 dėl neatskleistos praktinės patirties ir verslo informacijos (komercinių paslapčių) apsaugos nuo neteisėto jų gavimo, naudojimo ir atskleidimo (OL L 157, 2016, p. 1) 2 straipsnio 1 punkto išaiškinimo.

2

Šis prašymas pateiktas nagrinėjant CK ir Magistrat der Stadt Wien (Vienos miesto savivaldybė, Austrija) ginčą dėl teismo sprendimo, kuriuo Bisnode Austria GmbH, vėliau tapusi Dun & Bradstreet Austria GmbH (toliau – D & B), t. y. specializuota kreditingumo vertinimo srities įmonė, buvo įpareigota pateikti CK prasmingą informaciją apie loginį jos asmens duomenų profiliavimo pagrindimą, vykdymo.

3

BDAR 4, 11, 58, 63 ir 71 konstatuojamosiose dalyse nurodyta:

<…>

<…>

<…>

<…>

4

Šio reglamento 4 straipsnio „Apibrėžtys“ 4 punkte numatyta:

„Šiame reglamente:

<…>

5

Minėto reglamento 12 straipsnyje „Skaidrus informavimas, pranešimas ir duomenų subjekto naudojimosi savo teisėmis sąlygos“ 1 dalyje nustatyta:

„Duomenų valdytojas imasi tinkamų priemonių, kad visą 13 ir 14 straipsniuose nurodytą informaciją ir visus pranešimus pagal 15–22 ir 34 straipsnius, susijusius su duomenų tvarkymu, duomenų subjektui pateiktų glausta, skaidria, suprantama ir lengvai prieinama forma, aiškia ir paprasta kalba, ypač jei informacija yra konkrečiai skirta vaikui. <…>“

6

To paties reglamento 13 straipsnio, susijusio su informacija, kuri turi būti pateikta, kai asmens duomenys renkami iš duomenų subjekto, 2 dalies f punkte ir 14 straipsnio, susijusio su informacija, kuri turi būti pateikta, kai asmens duomenys yra gauti ne iš duomenų subjekto, 2 dalies g punkte atitinkamai numatyta, kad duomenų valdytojas, siekdamas užtikrinti sąžiningą ir skaidrų duomenų subjekto duomenų tvarkymą, privalo duomenų subjektui pateikti informaciją, visų pirma apie tai, „kad esama 22 straipsnio 1 ir 4 dalyse nurodyto automatizuoto sprendimų priėmimo, įskaitant profiliavimą, ir, bent tais atvejais, prasmingą informaciją apie loginį jo pagrindimą, taip pat tokio duomenų tvarkymo reikšmę ir numatomas pasekmes duomenų subjektui“.

7

BDAR 15 straipsnis „Duomenų subjekto teisė susipažinti su duomenimis“ suformuluotas taip:

„1.   Duomenų subjektas turi teisę iš duomenų valdytojo gauti patvirtinimą, ar su juo susiję asmens duomenys yra tvarkomi, o jei tokie asmens duomenys yra tvarkomi, turi teisę susipažinti su asmens duomenimis ir toliau nurodyta informacija:

<…>

<…>

3.   Duomenų valdytojas pateikia tvarkomų asmens duomenų kopiją. Už bet kurias kitas duomenų subjekto prašomas kopijas duomenų valdytojas gali imti pagrįstą mokestį, nustatomą pagal administracines išlaidas. Kai duomenų subjektas prašymą pateikia elektroninėmis priemonėmis ir išskyrus atvejus, kai duomenų subjektas paprašo ją pateikti kitaip, informacija pateikiama įprastai naudojama elektronine forma.

4.   3 dalyje nurodyta teisė gauti kopiją negali daryti neigiamo poveikio kitų teisėms ir laisvėms.“

8

Šio reglamento 22 straipsnyje „Automatizuotas atskirų sprendimų priėmimas, įskaitant profiliavimą“ numatyta:

„1.   Duomenų subjektas turi teisę, kad jam nebūtų taikomas tik automatizuotu duomenų tvarkymu, įskaitant profiliavimą, grindžiamas sprendimas, dėl kurio jam kyla teisinės pasekmės arba kuris jam panašiu būdu daro didelį poveikį.

2.   1 dalis netaikoma, jeigu sprendimas:

3.   2 dalies a ir c punktuose nurodytais atvejais duomenų valdytojas įgyvendina tinkamas priemones, kad būtų apsaugotos duomenų subjekto teisės bei laisvės ir teisėti interesai, bent teisė iš duomenų valdytojo reikalauti žmogaus įsikišimo, pareikšti savo požiūrį ir užginčyti sprendimą.

4.   2 dalyje nurodyti sprendimai negrindžiami 9 straipsnio 1 dalyje nurodytais specialių kategorijų asmens duomenimis, nebent taikomi 9 straipsnio 2 dalies a arba g punktai ir yra nustatytos tinkamos priemonės duomenų subjekto teisėms bei laisvėms ir teisėtiems interesams apsaugoti.“

9

Minėto reglamento 23 straipsnyje „Apribojimai“ nustatyta:

„1.   Sąjungos ar valstybės narės teise, kuri taikoma duomenų valdytojui arba duomenų tvarkytojui, teisėkūros priemone gali būti apribotos 12–22 straipsniuose ir 34 straipsnyje, taip pat 5 straipsnyje tiek, kiek jo nuostatos atitinka 12–22 straipsniuose numatytas teises ir prievoles, nustatytos prievolės ir teisės, kai tokiu apribojimu gerbiama pagrindinių teisių ir laisvių esmė ir jis demokratinėje visuomenėje yra būtina ir proporcinga priemonė siekiant užtikrinti:

<…>

i) duomenų subjekto apsaugą arba kitų asmenų teisių ir laisvių apsaugą;

<…>

2.   Visų pirma visose 1 dalyje nurodytose teisėkūros priemonėse pateikiamos konkrečios nuostatos, susijusios tam tikrais atvejais bent su:

10

To paties reglamento 54 straipsnio „Priežiūros institucijos įsteigimo taisyklės“ 2 dalyje nustatyta:

„Kiekvienos priežiūros institucijos narys arba nariai ir darbuotojai įpareigojami kadencijos metu ir jai pasibaigus pagal Sąjungos ar valstybės narės teisę saugoti profesinę paslaptį, susijusią su bet kokia konfidencialia informacija, kurią jie sužinojo atlikdami savo užduotis arba naudodamiesi savo įgaliojimais. Jų kadencijos metu tas įpareigojimas saugoti profesinę paslaptį visų pirma taikomas fizinių asmenų teikiamiems pranešimams apie šio reglamento pažeidimus.“

11

BDAR 58 straipsnio „Įgaliojimai“ 1 dalies e punkte numatyta:

„Kiekviena priežiūros institucija turi visus šiuos tyrimo įgaliojamus:

12

Direktyvos 2016/943 35 konstatuojamojoje dalyje nustatyta:

„<…> šia direktyva neturėtų būti daromas poveikis [1995 m. spalio 24 d. Europos Parlamento ir Tarybos] Direktyvoje 95/46/EB [dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (OL L 281, 1995, p. 31)] nustatytoms teisėms ir pareigoms, visų pirma duomenų subjekto teisėms susipažinti su tvarkomais savo asmens duomenimis ir reikalauti, kad neišsamūs ar netikslūs duomenys būtų ištaisyti, ištrinti arba užblokuoti <…>.“

13

Šios direktyvos 2 straipsnio 1 punkte numatyta:

„Šioje direktyvoje vartojamų terminų apibrėžtys:

14

Minėtos direktyvos 9 straipsnyje „Komercinių paslapčių konfidencialumo išsaugojimas per teismo procesą“ nustatyta:

„1.   Valstybės narės užtikrina, kad šalims, jų advokatams ar kitiems atstovams, teismo pareigūnams, liudytojams, ekspertams ir visiems kitiems asmenims, dalyvaujantiems teismo procese dėl neteisėto komercinės paslapties gavimo, naudojimo arba atskleidimo, arba turintiems teisę susipažinti su dokumentais, sudarančiais tą teismo procesą, būtų neleidžiama naudoti arba atskleisti jokios komercinės paslapties ar tariamos komercinės paslapties, kurią kompetentingos teisminės institucijos, reaguodamos į tinkamai pagrįstą suinteresuotosios šalies paraišką [prašymą], įvardijo konfidencialia ir kurią jie sužinojo dalyvaudami tokiame procese arba turėdami tokią teisę susipažinti. Tuo atžvilgiu valstybės narės taip pat gali kompetentingoms teisminėms institucijoms leisti veikti savo iniciatyva.

Pirmoje pastraipoje nurodyta pareiga lieka galioti pasibaigus teismo procesui. Tačiau tokia pareiga nustoja galioti bet kuriomis iš šių aplinkybių:

2.   Valstybės narės taip pat užtikrina, kad kompetentingos teisminės institucijos, gavusios tinkamai pagrįstą šalies paraišką [prašymą], galėtų imtis konkrečių priemonių, kurių reikia, kad būtų išsaugotas bet kurios komercinės paslapties arba tariamos komercinės paslapties, naudojamos arba nurodomos per teismo procesą dėl neteisėto komercinės paslapties gavimo, naudojimo arba atskleidimo, konfidencialumas. Valstybės narės taip pat gali kompetentingoms teisminėms institucijoms leisti imtis tokių priemonių savo iniciatyva.

Pirmoje pastraipoje nurodytos priemonės apima bent galimybę:

Antros pastraipos a ir b punktuose nurodytų asmenų skaičius negali būti didesnis nei būtina siekiant užtikrinti, kad būtų gerbiama teismo proceso šalių teisė į veiksmingą teisinę gynybą ir teisingą bylos nagrinėjimą, ir į tų asmenų grupę turi būti įtraukta bent po vieną fizinį asmenį iš kiekvienos iš šalių ir atitinkami tų teismo proceso šalių advokatai ar kiti atstovai.

3.   Spręsdamos dėl 2 dalyje nurodytų priemonių ir vertindamos jų proporcingumą, kompetentingos teisminės institucijos atsižvelgia į būtinybę užtikrinti teisę į veiksmingą teisinę gynybą ir teisingą bylos nagrinėjimą, šalių ir, kai tinkama, trečiųjų šalių teisėtus interesus ir į bet kokią galimą žalą bet kuriai iš šalių ir, kai tinkama, trečiosioms šalims, kurią sukeltų tokių priemonių nustatymas ar atmetimas.

4.   Asmens duomenys pagal 1, 2 arba 3 dalį tvarkomi laikantis [Direktyvos 95/46].“

15

1999 m. rugpjūčio 17 d.Datenschutzgesetz (Duomenų apsaugos įstatymas) (BGBl. I, 165/1999) redakcijos, taikytinos pagrindinėje byloje (toliau – DSG), 4 straipsnio 6 dalyje nustatyta, kad BDAR 15 straipsnyje numatyta duomenų subjekto teisė susipažinti su asmens duomenimis paprastai netaikoma tuomet, kai pateikus šią informaciją kiltų grėsmė komercinei arba gamybinei duomenų valdytojo ar trečiųjų asmenų paslapčiai.

16

Mobiliojo ryšio operatorius atsisakė sudaryti arba pratęsti mobiliojo ryšio sutartį su CK, pagal kurią būtų reikėję mokėti 10 EUR mėnesinę įmoką, motyvuodamas tuo, kad pagal D & B atliktą automatizuotą kreditingumo vertinimą CK nebuvo pakankamai moki.

17

CK kreipėsi į Austrijos duomenų apsaugos instituciją, ši įpareigojo D & B suteikti CK prasmingą informaciją apie loginį automatizuoto su CK asmens duomenimis susijusių sprendimų priėmimo pagrindimą.

18

D & B apskundė šios institucijos sprendimą Bundesverwaltungsgericht (Federalinis administracinis teismas, Austrija), iš esmės ji teigė, kad dėl saugomos komercinės paslapties neprivalėjo suteikti CK papildomos informacijos, išskyrus tą, kuri jau buvo jai suteikta.

19

2019 m. spalio 23 d. sprendimu (toliau – 2019 m. spalio 23 d. sprendimas) minėtas teismas konstatavo, kad D & B pažeidė BDAR 15 straipsnio 1 dalies h punktą, nes nesuteikė CK prasmingos informacijos apie loginį automatizuoto su CK asmens duomenimis susijusių sprendimų priėmimo pagrindimą arba bent jau pakankamai nepagrindė, kodėl negalėjo suteikti šios informacijos.

20

Konkrečiai kalbant, tame sprendime Bundesverwaltungsgericht (Federalinis administracinis teismas) pažymėjo, kad D & B nepateikė CK pakankamai paaiškinimų, kurie leistų jai suprasti, kaip buvo parengta jos elgesio ateityje tikimybės (angl. „score“ („balas“)) prognozė, apie kurią ši įmonė jai pranešė patikslinusi, kad, siekiant gauti šį „balą“, tam tikri su CK susiję socialiniai ir demografiniai duomenys buvo „apibendrinti panašiai“.

21

2019 m. spalio 23 d. sprendimas yra galutinis ir vykdytinas pagal Austrijos teisę. Vis dėlto CK prašymas Vienos miesto savivaldybei, kuri yra vykdančioji institucija, vykdyti tą sprendimą buvo atmestas, motyvuojant tuo, kad D & B pakankamai įvykdė savo pareigą pateikti informaciją, net jei ir po to, kai buvo priimtas minėtas sprendimas, ši bendrovė nepateikė jokios papildomos informacijos.

22

Dėl Vienos miesto savivaldybės sprendimo CK pateikė skundą Verwaltungsgericht Wien (Vienos administracinis teismas, Austrija), prašymą priimti prejudicinį sprendimą pateikusiam teismui, jame prašė vykdyti 2019 m. spalio 23 d. sprendimą.

23

Prašymą priimti prejudicinį sprendimą pateikęs teismas mano, kad pagal Austrijos teisę privalo užtikrinti minėto sprendimo vykdymą, o tai reiškia, kad reikia nustatyti konkrečius veiksmus, kuriuos D & B turi atlikti pagal tą sprendimą.

24

Manydamas, kad tai gali padaryti tik reikiamą kompetenciją turintis ekspertas, prašymą priimti prejudicinį sprendimą pateikęs teismas paskyrė tokį ekspertą; jis laikėsi nuomonės, kad D & B, siekdama įvykdyti įsipareigojimus CK, privalo pateikti tokią minimalią informaciją:

25

Siekdama užtikrinti, kad suteikus tokią informaciją CK galėtų patikrinti šios minimalios informacijos tikslumą, D & B taip pat turėjo pateikti sąrašą su nurodytais asmenų „balais“, kurie buvo gauti prieš šešis mėnesius iki CK „balo“ nustatymo ir praėjus šešiems mėnesiams po jo nustatymo, remiantis ta pačia apskaičiavimo taisykle.

26

Prašymą priimti prejudicinį sprendimą pateikusio teismo teigimu, tik pateikus minėto eksperto nurodytą minimalią informaciją būtų galima patikrinti duomenų valdytojo pagal BDAR 15 straipsnio 1 dalies h punktą suteiktos informacijos nuoseklumą ir tikslumą.

27

Šiuo atveju keli požymiai aiškiai rodo, kad D & B pateikta informacija prieštarauja faktinėms aplinkybėms. Iš tiesų, nors CK suteikta informacija, įskaitant, be kita ko, gautą „balą“, patvirtino labai gerą CK mokumą, faktinis profiliavimas leido manyti, kad ji nebuvo moki, įskaitant atvejį, susijusį su 10 EUR mėnesinės įmokos mokėjimu pagal mobiliojo ryšio sutartį.

28

Taigi prašymą priimti prejudicinį sprendimą pateikęs teismas mano, kad kyla klausimas, ar pagal BDAR 15 straipsnio 1 dalies h punktą duomenų subjektui užtikrinama galimybė patikrinti duomenų valdytojo suteiktos informacijos tikslumą.

29

Jeigu pagal BDAR 15 straipsnio 1 dalies h punktą nebūtų užtikrinta tokia galimybė patikrinti, toje nuostatoje numatyta teisė susipažinti su duomenų subjekto asmens duomenimis ir kita informacija netektų prasmės ir taptų nereikalinga, juo labiau kad kiekvienas duomenų valdytojas šiuo atveju galėtų pateikti neteisingą informaciją.

30

Taip pat kyla klausimas, ar komercinės paslapties buvimo išimtimi gali būti ribojama ši teisė susipažinti su duomenimis, užtikrinama pagal BDAR 15 straipsnio 1 dalies h punktą, siejamą su 22 straipsniu, ir, jei taip, tai kiek.

31

Atsižvelgiant į Direktyvos 2016/943 9 straipsnyje numatytas taisykles, reikėtų įvertinti, ar informaciją, laikomą „komercine paslaptimi“, kaip tai suprantama pagal šios direktyvos 2 straipsnio 1 punktą, būtų įmanoma atskleisti tik institucijai arba teismui, į kuriuos kreiptasi, kad ši institucija arba šis teismas galėtų savarankiškai patikrinti, ar galima manyti, kad tokia komercinė paslaptis iš tikrųjų egzistuoja, ir ar ši duomenų valdytojo pateikta informacija, kaip tai suprantama pagal BDAR 15 straipsnio 1 dalį, atitinka realią situaciją.

32

Galiausiai reikia išnagrinėti, ar tokia nuostata, kaip DSG 4 straipsnio 6 dalis, pagal kurią iš esmės nesuteikiama BDAR 15 straipsnyje numatyta duomenų subjekto teisė susipažinti su duomenimis, jeigu tokia prieiga keltų pavojų duomenų valdytojo ar trečiojo asmens komercinei ar verslo paslapčiai, gali būti laikoma atitinkančia BDAR 15 straipsnio 1 dalį, siejamą su jo 22 straipsnio 3 dalimi.

33

Šiomis aplinkybėmis Verwaltungsgericht Wien (Vienos administracinis teismas) nusprendė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šiuos prejudicinius klausimus:

34

2022 m. gruodžio 8 d. sprendimu Teisingumo Teismo pirmininkas sustabdė šios bylos nagrinėjimą, kol bus priimtas galutinis sprendimas byloje SCHUFA Holding ir kt. (Scoring) (C‑634/21).

35

Remdamasi 2023 m. gruodžio 13 d. Teisingumo Teismo pirmininko sprendimu Teisingumo Teismo kanceliarija pranešė prašymą priimti prejudicinį sprendimą pateikusiam teismui apie 2023 m. gruodžio 7 d. Sprendimą SCHUFA Holding ir kt. (Scoring) (C‑634/21, EU:C:2023:957) ir paprašė nurodyti, ar, atsižvelgdamas į šį sprendimą, jis pageidauja palikti galioti savo prašymą priimti prejudicinį sprendimą.

36

Rašte (jį Teisingumo Teismo kanceliarija gavo 2024 m. sausio 29 d.) prašymą priimti prejudicinį sprendimą pateikęs teismas nurodė, kad neatsiima prašymo priimti prejudicinį sprendimą, nes 2023 m. gruodžio 7 d. Sprendimas SCHUFA Holding ir kt. (Scoring) (C‑634/21, EU:C:2023:957) neleidžia atsakyti į jo nagrinėjamoje byloje iškeltus klausimus.

37

Taigi 2024 m. vasario 14 d. sprendimu Teisingumo Teismo pirmininkas nurodė atnaujinti šios bylos nagrinėjimą.

38

Pirmuoju ir antruoju klausimais, taip pat trečiojo klausimo a punktu, kuriuos reikia nagrinėti kartu, prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 15 straipsnio 1 dalies h punktas turi būti aiškinamas taip, kad automatizuoto sprendimų priėmimo, įskaitant profiliavimą, kaip tai suprantama pagal šio reglamento 22 straipsnio 1 dalį, atveju duomenų subjektas gali reikalauti, kad duomenų valdytojas, kiek tai susiję su „prasminga informacija apie loginį [automatizuoto sprendimų priėmimo] pagrindimą“, išsamiai paaiškintų procedūrą ir principus, kurie faktiškai taikomi siekiant automatizuotomis priemonėmis naudoti su šiuo duomenų subjektu susijusius asmens duomenis konkrečiam rezultatui, pavyzdžiui, mokumo profiliui, gauti.

39

Pagal Teisingumo Teismo suformuotą jurisprudenciją aiškinant Sąjungos teisės nuostatą reikia atsižvelgti ne tik į jos formuluotę, bet ir į kontekstą bei teisės akto, kuriame ji įtvirtinta, tikslus (2023 m. gegužės 4 d. Sprendimo Österreichische Datenschutzbehörde ir CRIF, C‑487/21, EU:C:2023:369, 19 punktas ir jame nurodyta jurisprudencija).

40

Visų pirma, kiek tai susiję su BDAR 15 straipsnio 1 dalies h punkto formuluote, svarbu pažymėti, kad sąvokos „prasminga informacija“, kaip ji suprantama pagal šią nuostatą, reikšmė įvairiose šios nuostatos kalbinėse versijose skiriasi ir kai kuriose, kaip ir versijoje prancūzų kalba, pirmenybė teikiama informacijos, kuri turi būti pateikta, funkcionalumui (nyderlandų k. „nuttige“, portugalų k. „úteis“) arba prasmingumui (rumunų k. „pertinente“), o kitose versijose labiau pabrėžiama informacijos svarba (ispanų k. „significativa“ ir lenkų k. „istotne“). Galiausiai tiek šios nuostatos versijoje vokiečių kalba, tiek anglų kalba vartojamas žodis (atitinkamai „aussagekräftig“ ir „meaningful“) gali būti suprantamas ir kaip nurodantis minėtos informacijos suprantamumą, ir kaip susijęs su tam tikra šios informacijos kokybe.

41

Vis dėlto, kaip savo išvados 65 punkte iš esmės pažymėjo generalinis advokatas, skirtingose kalbinėse versijose vartojamas įvairias reikšmes reikia suprasti kaip pirmesniame punkte nurodytas papildomas reikšmes, į kurias turi būti atsižvelgiama aiškinant sąvoką „prasminga informacija apie loginį jo pagrindimą“, kaip tai suprantama pagal BDAR 15 straipsnio 1 dalies h punktą.

42

Antra, atsižvelgiant į šios nuostatos bendrą formuluotę, nuoroda į automatizuoto sprendimų priėmimo „loginį pagrindimą“, kuris yra minėtos „prasmingos informacijos“ dalykas, gali apimti labai įvairią asmens ir kitų duomenų naudojimo „logiką“, siekiant automatizuotomis priemonėmis gauti konkretų rezultatą. Tokį aiškinimą patvirtina minėtos nuostatos tam tikros kalbinės versijos, kuriose vartojami žodžiai, skirti sąvokos „loginis“ bendros reikšmės skirtingiems aspektams papildyti. Pavyzdžiui, versijose čekų ir lenkų kalbomis daroma nuoroda atitinkamai į žodžius „postupu“ ir „zasady“, kurie gali būti verčiami kaip „procedūra“ ir „principai“.

43

Taigi reikia konstatuoti, kad BDAR 15 straipsnio 1 dalies h punkto formuluotė apima bet kokią reikšmingą informaciją, susijusią su asmens duomenų naudojimo procedūra ir principais, siekiant automatizuotomis priemonėmis gauti konkretų rezultatą.

44

Be to, kalbant apie BDAR 15 straipsnio 1 dalies h punkte vartojamos sąvokos „prasminga informacija apie loginį [automatizuoto sprendimų priėmimo] pagrindimą“ kontekstą, pirma, reikia pažymėti, kad ši informacija yra tik dalis informacijos, kuriai taikoma šiame straipsnyje numatyta teisė susipažinti su duomenimis, nes ši nuostata taip pat susijusi su informacija apie atitinkamo duomenų tvarkymo reikšmę ir numatomas pasekmes duomenų subjektui.

45

Nors pastaroji informacija (kuri, remiantis 2017 m. spalio 3 d.„29 straipsnio“ duomenų apsaugos darbo grupės priimtomis ir 2018 m. vasario 6 d. peržiūrėtomis „Automatizuoto atskirų sprendimų priėmimo ir profiliavimo gairėmis pagal Reglamentą (ES) 2016/679“, tam, kad būtų prasminga ir suprantama, turėtų būti pateikta su „realiais ir konkrečiais pavyzdžiais“) nėra prašymą priimti prejudicinį sprendimą pateikusio teismo pateiktų klausimų dalykas, vis dėlto į ją reikia atsižvelgti kaip į konteksto, kuriame įtvirtinta sąvoka „prasminga informacija apie loginį [automatizuoto sprendimų priėmimo] pagrindimą“, elementą.

46

Antra, atsižvelgdamas į tai, kad sąvoka „prasminga informacija apie loginį [automatizuoto sprendimų priėmimo] pagrindimą“ taip pat įtvirtinta BDAR 13 straipsnio 2 dalies f punkte ir 14 straipsnio 2 dalies g punkte, Teisingumo Teismas jau yra konstatavęs, kad automatizuoto sprendimų priėmimo, kaip tai suprantama pagal šio reglamento 22 straipsnio 1 dalį, atveju to paties reglamento 15 straipsnio 1 dalies h punkte įtvirtinta teisė susipažinti su tokia informacija sudaro visumą kartu su duomenų valdytojui pagal BDAR 13 straipsnio 2 dalies f punktą ir 14 straipsnio 2 dalies g punktą nustatytomis papildomomis pareigomis informuoti (šiuo klausimu žr. 2023 m. gruodžio 7 d. Sprendimo SCHUFA Holding ir kt. (Scoring), C‑634/21, EU:C:2023:957, 56 punktą).

47

Trečia, kaip savo išvados 58–60 punktuose iš esmės nurodė generalinis advokatas, atliekant kontekstinį teisių susipažinti su duomenimis, numatytų automatizuoto sprendimų priėmimo atveju, aiškinimą, reikia atsižvelgti į Teisingumo Teismo jurisprudenciją, susijusią su reikalavimais, kurių duomenų valdytojas turi laikytis pagal BDAR 15 straipsnio 3 dalį.

48

Taigi reikia atsižvelgti, be kita ko, į tai, kad suteiktos informacijos skaidrumo reikalavimas, kuris numatytas BDAR 12 straipsnio 1 dalyje, taikomas visiems 15 straipsnyje nurodytiems duomenims ir informacijai, įskaitant susijusius su automatizuotu sprendimų priėmimu.

49

Siekiant užtikrinti, kad duomenų subjektas galėtų visapusiškai suprasti duomenų valdytojo jam pateiktą informaciją, minėto 12 straipsnio 1 dalyje duomenų valdytojas įpareigojamas imtis tinkamų priemonių, kad šie duomenys ir informacija duomenų subjektui būtų pateikti glausta, skaidria, suprantama ir lengvai prieinama forma, taip pat aiškia ir paprasta kalba (šiuo klausimu žr. 2023 m. gegužės 4 d. Sprendimo Österreichische Datenschutzbehörde ir CRIF, C‑487/21, EU:C:2023:369, 38 punktą).

50

Taigi BDAR 15 straipsnio 1 dalies h punkto konteksto analizė patvirtina aiškinimą, išplaukiantį iš šios nuostatos formuluotės analizės, pagal kurią „prasminga informacija apie loginį [automatizuoto sprendimų priėmimo] pagrindimą“, kaip tai suprantama pagal šią nuostatą, apima bet kokią reikšmingą informaciją, susijusią su asmens duomenų naudojimo procedūra ir principais, siekiant automatizuotomis priemonėmis gauti konkretų rezultatą, o pagal skaidrumo pareigą taip pat reikalaujama, kad ši informacija būtų pateikta glausta, skaidria, suprantama ir lengvai prieinama forma.

51

Galiausiai dėl BDAR tikslų reikia priminti, kad šio reglamento tikslas, be kita ko, yra užtikrinti aukštą fizinių asmenų pagrindinių laisvių ir teisių, visų pirma jų teisės į asmens duomenų apsaugą, įtvirtintos SESV 16 straipsnyje ir kaip pagrindinės teisės garantuojamos Chartijos 8 straipsnyje, kuris papildo Chartijos 7 straipsnyje užtikrinamą teisę į privatų gyvenimą, apsaugos lygį (šiuo klausimu žr. 2024 m. spalio 4 d. Sprendimo Schrems (Duomenų atskleidimas plačiajai visuomenei), C‑446/21, EU:C:2024:834, 45 punktą ir jame nurodytą jurisprudenciją).

52

Taigi, kaip patikslinta BDAR 11 konstatuojamojoje dalyje, šiuo reglamentu siekiama sustiprinti ir išsamiai nustatyti duomenų subjektų teises (2023 m. gegužės 4 d. Sprendimo Österreichische Datenschutzbehörde ir CRIF, C‑487/21, EU:C:2023:369, 33 punktas ir jame nurodyta jurisprudencija).

53

Konkrečiai dėl BDAR 15 straipsnyje numatytos teisės susipažinti su duomenimis pažymėtina, jog iš Teisingumo Teismo jurisprudencijos matyti, kad ši teisė turi suteikti duomenų subjektui galimybę įsitikinti, kad jo asmens duomenys yra tikslūs ir tvarkomi teisėtai (2023 m. gegužės 4 d. Sprendimo Österreichische Datenschutzbehörde ir CRIF, C‑487/21, EU:C:2023:369, 34 punktas ir 2023 m. spalio 26 d. Sprendimo FT (Medicinos dokumentų kopijos), C‑307/22, EU:C:2023:811, 73 punktas).

54

Ši teisė susipažinti su duomenimis yra būtina tam, kad duomenų subjektas prireikus galėtų pasinaudoti teise ištaisyti duomenis, teise ištrinti duomenis („teisė būti pamirštam“) ir teise apriboti duomenų tvarkymą, kurios jam suteiktos atitinkamai pagal BDAR 16, 17 ir 18 straipsnius, taip pat BDAR 21 straipsnyje numatyta teise nesutikti, kad jo asmens duomenys būtų tvarkomi, ir atitinkamai BDAR 79 ir 82 straipsniuose numatyta teise pareikšti ieškinį ir teise į kompensaciją (šiuo klausimu žr. 2023 m. gegužės 4 d. Sprendimo Österreichische Datenschutzbehörde ir CRIF, C‑487/21, EU:C:2023:369, 35 punktą).

55

Visų pirma atsižvelgiant į konkretų sprendimo, grindžiamo tik automatizuotu duomenų tvarkymu, priėmimo kontekstą pagrindinis duomenų subjekto teisės gauti BDAR 15 straipsnio 1 dalies h punkte numatytą informaciją tikslas yra leisti jam veiksmingai pasinaudoti teisėmis, kurios jam pripažįstamos pagal šio reglamento 22 straipsnio 3 dalį, t. y. teise pareikšti savo nuomonę dėl šio sprendimo ir teise jį užginčyti.

56

Iš tiesų, jeigu asmenys, kuriems daro poveikį automatizuotas sprendimas, įskaitant profiliavimą, negalėjo suprasti priežasčių, dėl kurių buvo priimtas šis sprendimas, prieš pareiškiant savo nuomonę dėl jo ar jį užginčijant, vadinasi, šiomis teisėmis negalima visapusiškai įgyvendinti tikslo apsaugoti asmenis nuo konkretaus pavojaus jų teisėms ir laisvėms, kurį kelia automatizuotas asmens duomenų tvarkymas (šiuo klausimu žr. 2023 m. gruodžio 7 d. Sprendimo SCHUFA Holding ir kt. (Scoring), C‑634/21, EU:C:2023:957, 57 punktą).

57

Šiuo klausimu iš BDAR 71 konstatuojamosios dalies matyti, kad tuo atveju, kai duomenų subjektui taikomas sprendimas, priimtas remiantis vien automatizuotu duomenų tvarkymu ir darantis jam didelį poveikį, jis turi turėti teisę gauti paaiškinimą dėl šio sprendimo. Taigi, kaip savo išvados 67 punkte pažymėjo generalinis advokatas, reikia konstatuoti, kad BDAR 15 straipsnio 1 dalies h punkte duomenų subjektui suteikiama reali teisė į paaiškinimą, kaip veikia mechanizmas, kuriuo grindžiamas automatizuotas su šiuo asmeniu susijusių sprendimų priėmimas, ir koks yra šių sprendimų rezultatas.

58

Išnagrinėjus BDAR tikslus, visų pirma jo 15 straipsnio 1 dalies h punkte įtvirtintuosius, matyti, kad teisė gauti „prasmingą informaciją apie loginį automatizuoto sprendimų priėmimo pagrindimą“ pagal šią nuostatą turi būti suprantama kaip teisė į procedūros ir principų, konkrečiai taikomų siekiant automatizuotomis priemonėmis naudoti su šiuo duomenų subjektu susijusius asmens duomenis konkrečiam rezultatui, pavyzdžiui, mokumo profiliui, gauti, paaiškinimą. Tam, kad duomenų subjektas galėtų veiksmingai pasinaudoti BDAR, visų pirma jo 22 straipsnio 3 dalyje, jam suteiktomis teisėmis, šis paaiškinimas turi būti pateiktas naudojant reikšmingą informaciją, taip pat glausta, skaidria, suprantama ir lengvai prieinama forma.

59

Šių reikalavimų negali įvykdyti nei paprastas sudėtingos matematinės formulės, kaip antai algoritmo, pateikimas, nei išsamus visų automatizuoto sprendimų priėmimo etapų aprašymas, nes nė vienas iš šių būdų nėra pakankamai glaustas ir suprantamas paaiškinimas.

60

Kaip matyti iš šio sprendimo 45 punkte minėtų „Automatizuoto atskirų sprendimų priėmimo ir profiliavimo gairių pagal Reglamentą (ES) 2016/679“ 28 puslapio, pirma, duomenų valdytojas turėtų rasti paprastų būdų, kaip duomenų subjektui paaiškinti automatizuoto sprendimų priėmimo pagrindimą arba kriterijus, kuriais remiamasi priimant sprendimus. Antra, pagal BDAR reikalaujama, kad minėtas duomenų valdytojas suteiktų prasmingos informacijos apie loginį šių sprendimų priėmimo pagrindimą, „o ne sudėtingai paaiškintų taikomus algoritmus arba atskleistų visą algoritmą“.

61

Taigi „prasmingoje informacijoje apie loginį automatizuoto sprendimų priėmimo pagrindimą“, kaip tai suprantama pagal BDAR 15 straipsnio 1 dalies h punktą, konkrečiai taikoma procedūra ir principai turi būti aprašyti taip, kad duomenų subjektas galėtų suprasti, kurie iš jo asmens duomenų buvo panaudoti priimant atitinkamus automatizuotus sprendimus, o operacijų, kurios turi būti atliekamos automatizuoto sprendimų priėmimo momentu, sudėtingumas negali atleisti duomenų valdytojo nuo pareigos paaiškinti.

62

Konkrečiai kalbant apie tokį profiliavimą, koks nagrinėjamas pagrindinėje byloje, prašymą priimti prejudicinį sprendimą pateikęs teismas visų pirma galėjo laikyti pakankamai skaidria ir suprantama forma tai, kad duomenų subjektas yra informuotas, kiek pasikeitus asmens duomenims, į kuriuos atsižvelgiama, būtų gautas kitoks rezultatas.

63

Atsižvelgiant į tai, dar reikia pažymėti, kad, kiek tai susiję su klausimu, ar pateikta informacija turi leisti duomenų subjektui patikrinti su juo susijusių asmens duomenų, kuriais grindžiamas automatizuotas sprendimų priėmimas, tikslumą, teisė susipažinti su šiais duomenimis reglamentuojama ne pagal BDAR 15 straipsnio 1 dalies h punktą, o pagal tos pačios dalies įžanginį sakinį, pagal kurį duomenų subjektui užtikrinama galimybė įsitikinti šių duomenų tikslumu, kaip matyti iš šio sprendimo 53 punkte nurodytos jurisprudencijos.

64

Galiausiai dėl prašymą priimti prejudicinį sprendimą pateikusio teismo teiginio, kad informacija, kurią D & B pateikė CK pagal BDAR 15 straipsnio 1 dalies h punktą, prieštarauja faktinėms aplinkybėms, nes „faktinis“ profiliavimas leido manyti, kad ji nebuvo moki, nors iš minėtos informacijos buvo galima daryti priešingą išvadą, reikia pažymėti, kad net jei, kaip teigia tas teismas, taip nustatyta neatitiktis atsirado dėl to, kad D & B nepranešė CK apie mobiliojo ryšio įmonės, kuri tuo pagrindu atsisakė sudaryti ar pratęsti sutartį su ja, vardu atliktą profiliavimą, tai turi būti ištaisyta suteikiant teisę susipažinti su taip nustatytu mokumo profiliu. Šiuo klausimu iš Teisingumo Teismo jurisprudencijos matyti, kad paties duomenų valdytojo sugeneruotiems asmens duomenims taikomas BDAR 14 straipsnis (šiuo klausimu žr. 2024 m. lapkričio 28 d. Sprendimo Másdi, C‑169/23, EU:C:2024:988, 48 punktą).

65

Atvirkščiai, paaiškinimas apie tokio „faktinio“ profiliavimo rezultato, darant prielaidą, kad jis įrodytas, ir rezultato, kurį D & B pateikė CK ir kuris, šios bendrovės teigimu, gautas „panašiai apibendrinus“ CK duomenis, skirtumus iš tiesų yra „prasminga informacija apie loginį“ taip atlikto profiliavimo „pagrindimą“. Taigi, remiantis tuo, kas nurodyta šio sprendimo 58 punkte, D & B privalo glaustai, skaidriai, suprantamai ir lengvai prieinamu būdu paaiškinti procedūrą ir principus, kuriuos taikant buvo gautas „faktinio“ profiliavimo rezultatas.

66

Iš viso to, kas išdėstyta, matyti, kad į pirmąjį ir antrąjį klausimus, taip pat į trečiojo klausimo a punktą reikia atsakyti: BDAR 15 straipsnio 1 dalies h punktas turi būti aiškinamas taip, kad automatizuoto sprendimų priėmimo, įskaitant profiliavimą, kaip tai suprantama pagal šio reglamento 22 straipsnio 1 dalį, atveju duomenų subjektas gali reikalauti, kad duomenų valdytojas, kiek tai susiję su „prasminga informacija apie loginį [automatizuoto sprendimų priėmimo] pagrindimą“, remdamasis reikšminga informacija ir glausta, skaidria, suprantama ir lengvai prieinama forma paaiškintų procedūrą ir principus, kurie faktiškai taikomi siekiant automatizuotomis priemonėmis naudoti su šiuo duomenų subjektu susijusius asmens duomenis konkrečiam rezultatui, pavyzdžiui, mokumo profiliui, gauti.

67

Trečiojo klausimo b ir c punktais, ketvirtojo klausimo a ir b punktais, taip pat penktuoju ir šeštuoju klausimais, kuriuos reikia nagrinėti kartu, prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 15 straipsnio 1 dalies h punktas turi būti aiškinamas taip, kad, jeigu duomenų valdytojas mano, jog informacija, kuri turi būti pateikta duomenų subjektui pagal šią nuostatą, apima pagal šį reglamentą saugomus trečiųjų asmenų duomenis arba komercines paslaptis, kaip tai suprantama pagal Direktyvos 2016/943 2 straipsnio 1 punktą, šis duomenų valdytojas privalo šią tariamai saugomą informaciją atskleisti kompetentingai priežiūros institucijai ar teismui, kurie turi pasverti atitinkamas teises ir interesus, kad nustatytų BDAR 15 straipsnyje numatytos duomenų subjekto teisės susipažinti su duomenimis apimtį.

68

Šiuo klausimu visų pirma reikia priminti, kad pagal BDAR 4 konstatuojamąją dalį teisė į asmens duomenų apsaugą nėra absoliuti; ji turi derėti su kitomis pagrindinėmis teisėmis, laikantis proporcingumo principo. Taigi BDAR paisoma visų Chartijoje pripažintų ir Sutartyse įtvirtintų pagrindinių teisių ir laisvių bei principų (2023 m. spalio 26 d. Sprendimo FT (Medicinos dokumentų kopijos), C‑307/22, EU:C:2023:811, 59 punktas ir jame nurodyta jurisprudencija).

69

Be to, šio reglamento 63 konstatuojamojoje dalyje nurodyta, kad bet kurio duomenų subjekto teisė susipažinti su asmens duomenimis, kurie buvo surinkti apie jį, neturėtų turėti neigiamo poveikio kitų asmenų teisėms ar laisvėms, įskaitant komercines paslaptis arba intelektinės nuosavybės teises, ypač autorių teises, kuriomis saugoma programinė įranga.

70

Vis dėlto tai neturėtų lemti, kad duomenų subjektui būtų atsisakyta suteikti visą informaciją. To paties reglamento 23 straipsnio 1 dalies i punkte iš esmės nurodyta, kad jo 15 straipsnyje numatytų prievolių ir teisių taikymo srities apribojimas galimas, jei tokiu apribojimu gerbiama pagrindinių teisių ir laisvių esmė ir jis demokratinėje visuomenėje yra būtina ir proporcinga priemonė siekiant užtikrinti kitų asmenų teisių ir laisvių apsaugą.

71

Dėl BDAR 15 straipsnio 4 dalyje įtvirtintos gretutinės teisės gauti kopiją Teisingumo Teismas jau yra pažymėjęs, kad jos taikymas neturėtų daryti neigiamo poveikio kitų asmenų teisėms ir laisvėms, įskaitant komercinę paslaptį ar intelektinę nuosavybę, ypač autorių teises, kuriomis saugoma programinė įranga (šiuo klausimu žr. 2023 m. gegužės 4 d. Sprendimo Österreichische Datenschutzbehörde ir CRIF, C‑487/21, EU:C:2023:369, 43 punktą).

72

Šiomis aplinkybėmis Teisingumo Teismas pažymėjo, kad, esant kolizijai tarp naudojimosi teise visiškai ir visapusiškai susipažinti su asmens duomenimis ir kitų asmenų teisių ar laisvių, reikia pasverti aptariamas teises ir laisves. Kai įmanoma, turėtų būti pasirenkami tokie asmens duomenų perdavimo būdai, kuriais nebūtų pažeistos kitų asmenų teisės ar laisvės, atsižvelgiant į tai, kad, kaip nurodyta BDAR 63 konstatuojamojoje dalyje, tokie argumentai neturėtų „lemti, kad duomenų subjektui būtų atsisakyta suteikti visą informaciją“ (šiuo klausimu žr. 2023 m. gegužės 4 d. Sprendimo Österreichische Datenschutzbehörde ir CRIF, C‑487/21, EU:C:2023:369, 44 punktą).

73

Dėl klausimo, kaip BDAR 15 straipsnio 1 dalies h punkte įtvirtinta teisė susipažinti su duomenimis gali būti įgyvendinama taip, kad būtų gerbiamos kitų asmenų teisės ir laisvės, reikia priminti, jog pagal jurisprudenciją nacionalinis teismas gali nuspręsti, kad jam turi būti atskleisti šalių arba trečiųjų asmenų asmens duomenys, kad žinodamas visas aplinkybes ir laikydamasis proporcingumo principo galėtų pasverti esamus interesus. Šis vertinimas prireikus gali lemti tai, kad toks teismas leistų visiškai ar iš dalies atskleisti kitai šaliai jam perduotus asmens duomenis, jeigu mano, kad toks atskleidimas neviršija to, kas būtina siekiant užtikrinti veiksmingą naudojimąsi iš Chartijos 47 straipsnio kylančiomis teisės subjektų teisėmis (2023 m. kovo 2 d. Sprendimo Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, 58 punktas).

74

Kaip savo išvados 94 punkte pažymėjo generalinis advokatas, ši jurisprudencija gali būti visiškai pritaikoma tokiam atvejui, kai dėl informacijos, kuri turi būti pateikta duomenų subjektui pagal BDAR 15 straipsnio 1 dalies h punkte užtikrinamą teisę susipažinti su duomenimis, gali būti pažeistos kitų asmenų teisės ir laisvės, visų pirma dėl to, kad ji apima pagal minėtą reglamentą saugomus trečiųjų asmenų asmens duomenis arba komercinę paslaptį, kaip tai suprantama pagal Direktyvos 2016/943 2 straipsnio 1 dalies 1 punktą. Tokiu atveju minėta informacija taip pat turi būti atskleista kompetentingai priežiūros institucijai arba teismui, kurie privalo pasverti atitinkamas teises ir interesus, kad nustatytų duomenų subjekto teisės susipažinti su savo asmens duomenimis apimtį.

75

Atsižvelgiant į būtinybę tai nustatyti kiekvienu konkrečiu atveju, pagal BDAR 15 straipsnio 1 dalies h punktą draudžiama, be kita ko, taikyti tokią nuostatą, kaip DSG 4 straipsnio 6 dalį, pagal kurią iš esmės nesuteikiama BDAR 15 straipsnyje numatyta duomenų subjekto teisė susipažinti su duomenimis, jei tokia galimybė susipažinti su duomenimis keltų pavojų duomenų valdytojo arba trečiojo asmens komercinei ar gamybinei paslapčiai. Šiuo klausimu reikia priminti, kad valstybė narė negali galutinai nustatyti, kokį rezultatą pagal Sąjungos teisę kiekvienu konkrečiu atveju turi duoti atitinkamų teisių ir interesų pasvėrimas (šiuo klausimu žr. 2023 m. gruodžio 7 d. Sprendimo SCHUFA Holding ir kt. (Scoring), C‑634/21, EU:C:2023:957, 70 punktą).

76

Atsižvelgiant į visa tai, kas išdėstyta, į trečiojo klausimo b ir c punktus, ketvirtojo klausimo a ir b punktus, taip pat į penktąjį ir šeštąjį klausimus reikia atsakyti: BDAR 15 straipsnio 1 dalies h punktas turi būti aiškinamas taip, kad, jeigu duomenų valdytojas mano, jog informacija, kuri turi būti pateikta duomenų subjektui pagal šią nuostatą, apima pagal šį reglamentą saugomus trečiųjų asmenų duomenis arba komercines paslaptis, kaip tai suprantama pagal Direktyvos 2016/943 2 straipsnio 1 punktą, šis duomenų valdytojas privalo šią tariamai saugomą informaciją atskleisti kompetentingai priežiūros institucijai ar teismui, kurie turi pasverti atitinkamas teises ir interesus, kad nustatytų BDAR 15 straipsnyje numatytos duomenų subjekto teisės susipažinti su duomenimis apimtį.

77

Kadangi šis procesas pagrindinės bylos šalims yra vienas iš etapų prašymą priimti prejudicinį sprendimą pateikusio teismo nagrinėjamoje byloje, bylinėjimosi išlaidų klausimą turi spręsti šis teismas. Išlaidos, susijusios su pastabų pateikimu Teisingumo Teismui, išskyrus tas, kurias patyrė minėtos šalys, nėra atlygintinos.

Remdamasis šiais motyvais, Teisingumo Teismas (pirmoji kolegija) nusprendžia: