–

CK, v zastúpení: C. Wirthensohn, Rechtsanwalt,

–

Dun & Bradstreet Austria GmbH, v zastúpení: D. Cooper, solicitor, A.‑S. Oberschelp de Meneses, avocate, K. Van Quathem a B. Van Vooren, advocaten,

–

španielska vláda, v zastúpení: A. Ballesteros Panizo, splnomocnený zástupca,

–

holandská vláda, v zastúpení: K. Bulterman a C. S. Schillemans, splnomocnené zástupkyne,

–

poľská vláda, v zastúpení: B. Majczyna, splnomocnený zástupca,

–

Európska komisia, v zastúpení: A. Bouchagiar, F. Erlbacher a H. Kranenborg, splnomocnení zástupcovia,

1

Návrh na začatie prejudiciálneho konania sa na jednej strane týka výkladu článku 15 ods. 1 písm. h) a článku 22 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“), a na druhej strane výkladu článku 2 bodu 1 smernice Európskeho parlamentu a Rady (EÚ) 2016/943 z 8. júna 2016 o ochrane nesprístupneného know‑how a obchodných informácií (obchodného tajomstva) pred ich neoprávneným získaním, využitím a sprístupnením (Ú. v. EÚ L 157, 2016, s. 1).

2

Tento návrh bol podaný v rámci sporu medzi CK a Magistrat der Stadt Wien (Magistrát mesta Viedeň, Rakúsko) vo veci núteného výkonu súdneho rozhodnutia, ktorým sa spoločnosti Bisnode Austria GmbH, teraz Dun & Bradstreet Austria GmbH (ďalej len „D & B“), zaoberajúcej sa posudzovaním úverového ratingu, ukladá povinnosť poskytnúť CK zmysluplné informácie o postupe použitom pri profilovaní v súvislosti s jej osobnými údajmi.

3

Odôvodnenia 4, 11, 58, 63 a 71 GDPR stanovujú:

…

…

…

…

4

Článok 4 bod 4 tohto nariadenia s názvom „Vymedzenia pojmov“ stanovuje:

„Na účely tohto nariadenia:

…

5

Článok 12 uvedeného nariadenia, nazvaný „Transparentnosť informácií, oznámenia a postupy výkonu práv dotknutej osoby“, v odseku 1 stanovuje:

„Prevádzkovateľ prijme vhodné opatrenia s cieľom poskytnúť dotknutej osobe všetky informácie uvedené v článkoch 13 a 14 a všetky oznámenia podľa článkov 15 až 22 a článku 34, ktoré sa týkajú spracúvania, a to v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme, formulované jasne a jednoducho, a to najmä v prípade informácií určených osobitne dieťaťu. …“

6

Článok 13 toho istého nariadenia, ktorý sa týka informácií, ktoré sa majú poskytovať pri získavaní osobných údajov od dotknutej osoby, a jeho článok 14, ktorý sa týka informácií, ktoré sa majú poskytnúť, ak osobné údaje neboli získané od dotknutej osoby, vo svojom odseku 2 písm. f) a odseku 2 písm. g) stanovujú, že prevádzkovateľ má poskytnúť dotknutej osobe najmä informácie, ktoré sú potrebné na zabezpečenie spravodlivého a transparentného spracúvania, o „existenci[i] automatizovaného rozhodovania vrátane profilovania uvedeného v článku 22 ods. 1 a 4 a aspoň v týchto prípadoch zmysluplné informácie o použitom postupe, ako aj význame a predpokladaných dôsledkoch takéhoto spracúvania pre dotknutú osobu“.

7

Článok 15 GDPR, nazvaný „Právo dotknutej osoby na prístup k údajom“, stanovuje:

„1.   Dotknutá osoba má právo získať od prevádzkovateľa potvrdenie o tom, či sa spracúvajú osobné údaje, ktoré sa jej týkajú, a ak tomu tak je, má právo získať prístup k týmto osobným údajom a tieto informácie:

…

…

3.   Prevádzkovateľ poskytne kópiu osobných údajov, ktoré sa spracúvajú. Za akékoľvek ďalšie kópie, o ktoré dotknutá osoba požiada, môže prevádzkovateľ účtovať primeraný poplatok zodpovedajúci administratívnym nákladom. Ak dotknutá osoba podala žiadosť elektronickými prostriedkami, informácie sa poskytnú v bežne používanej elektronickej podobe, pokiaľ dotknutá osoba nepožiadala o iný spôsob.

4.   Právo získať kópiu uvedenú v odseku 3 nesmie mať nepriaznivé dôsledky na práva a slobody iných.“

8

Článok 22 tohto nariadenia, nazvaný „Automatizované individuálne rozhodovanie vrátane profilovania“, stanovuje:

„1.   Dotknutá osoba má právo na to, aby sa na ňu nevzťahovalo rozhodnutie, ktoré je založené výlučne na automatizovanom spracúvaní, vrátane profilovania, a ktoré má právne účinky, ktoré sa jej týkajú alebo ju podobne významne ovplyvňujú.

2.   Odsek 1 sa neuplatňuje, ak je rozhodnutie:

3.   V prípadoch uvedených v odseku 2 písm. a) a c) prevádzkovateľ vykoná vhodné opatrenia na ochranu práv a slobôd a oprávnených záujmov dotknutej osoby, a to aspoň práva na ľudský zásah zo strany prevádzkovateľa, práva vyjadriť svoje stanovisko a práva napadnúť rozhodnutie.

4.   Rozhodnutia uvedené v odseku 2 sa nezakladajú na osobitných kategóriách osobných údajov uvedených v článku 9 ods. 1, pokiaľ sa neuplatňuje článok 9 ods. 2 písm. a) alebo g) a nie sú zavedené vhodné opatrenia na zaručenie práv a slobôd a oprávnených záujmov dotknutej osoby.“

9

Podľa článku 23 uvedeného nariadenia, nazvaného „Obmedzenia“:

„1.   V práve Únie alebo práve členského štátu, ktorému prevádzkovateľ alebo sprostredkovateľ podliehajú, sa prostredníctvom legislatívneho opatrenia môže obmedziť rozsah povinností a práv ustanovených v článkoch 12 až 22 a v článku 34, ako aj v článku 5, pokiaľ jeho ustanovenia zodpovedajú právam a povinnostiam ustanoveným v článkoch 12 až 22, ak takéto obmedzenie rešpektuje podstatu základných práv a slobôd a je nevyhnutným a primeraným opatrením v demokratickej spoločnosti s cieľom zaistiť:

…

i) ochranu dotknutej osoby alebo práv a slobôd iných;

…

2.   Konkrétne musí každé legislatívne opatrenie uvedené v odseku 1 obsahovať osobitné ustanovenia, ktoré v relevantných prípadov upravujú aspoň:

10

Článok 54 GDPR toho istého nariadenia, nazvaný „Pravidlá zriadenia dozorného orgánu“, v odseku 2 stanovuje:

„Člen alebo členovia a personál každého dozorného orgánu podliehajú v súlade s právom Únie alebo právom členského štátu povinnosti zachovávať profesijné tajomstvo, pokiaľ ide o dôverné informácie, o ktorých sa dozvedeli pri plnení svojich úloh alebo pri výkone svojich právomocí, a to tak počas ich funkčného obdobia, ako aj po ňom. Počas ich funkčného obdobia sa táto povinnosť zachovávať profesijné tajomstvo vzťahuje najmä na ohlasovanie porušení tohto nariadenia fyzickými osobami.“

11

Článok 58 GDPR, nazvaný „Právomoci“, v odseku 1 písm. e) stanovuje:

„Každý dozorný orgán má všetky tieto vyšetrovacie právomoci:

12

Odôvodnenie 35 smernice 2016/943 uvádza:

„Touto smernicou by… nemali byť dotknuté práva a povinnosti stanovené v [smernici Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov (Ú. v. ES 1995, L 281, s. 31; Mim. vyd. 13/015, s. 355)], a najmä právo dotknutej osoby na prístup k jej osobným údajom, ktoré sa spracúvajú, právo na opravu, vymazanie alebo zablokovanie neúplných alebo nepresných údajov…“

13

Článok 2 bod 1 tejto smernice stanovuje:

„Na účely tejto smernice sa uplatňujú tieto vymedzenia pojmov:

14

Článok 9 uvedenej smernice 2016/943, nazvaný „Zachovanie dôvernosti obchodného tajomstva v priebehu súdneho konania“, stanovuje:

„1.   Členské štáty zabezpečia, aby stranám konania, ich advokátom alebo iným zástupcom, súdnym úradníkom, svedkom, znalcom a všetkým ostatným osobám, ktoré sa zúčastňujú na súdnom konaní vo veci neoprávneného získania, využitia alebo sprístupnenia obchodného tajomstva alebo ktoré majú prístup k dokumentom, ktoré sú súčasťou uvedeného súdneho konania, nebolo povolené využiť ani sprístupniť žiadne obchodné tajomstvo alebo údajné obchodné tajomstvo, ktoré príslušné súdne orgány na základe riadne odôvodneného návrhu zainteresovanej strany klasifikovali ako dôverné a o ktorom sa dozvedeli v dôsledku účasti na tomto konaní alebo prístupu k týmto dokumentom. V uvedenom ohľade môžu členské štáty umožniť aj príslušným súdnym orgánom prijímanie takýchto opatrení z vlastnej iniciatívy.

Povinnosť uložená v zmysle prvého pododseku trvá aj po skončení súdneho konania. Takáto povinnosť však zaniká v ktoromkoľvek z týchto prípadov:

2.   Členské štáty takisto zabezpečujú, aby príslušné súdne orgány mohli na základe riadne odôvodneného návrhu niektorej zo strán konania prijať osobitné opatrenia nevyhnutné na zachovanie dôvernosti každého obchodného tajomstva alebo údajného obchodného tajomstva využitého alebo zmieneného v priebehu súdneho konania vo veci neoprávneného získania, využitia alebo sprístupnenia obchodného tajomstva. Členské štáty tiež môžu príslušným súdnym orgánom umožniť prijímanie takýchto opatrení z vlastnej iniciatívy.

Opatrenia uvedené v prvom pododseku zahŕňajú aspoň možnosť:

Počet osôb uvedený v písmenách a) a b) druhého pododseku nie je väčší, než je nevyhnutné na zabezpečenie súladu s právom strán konania na účinný prostriedok nápravy a na spravodlivý proces, a zahŕňa minimálne jednu fyzickú osobu za každú stranu a príslušných advokátov alebo iných zástupcov týchto strán konania.

3.   Príslušné súdne orgány pri rozhodovaní o opatreniach uvedených v odseku 2 a pri posudzovaní ich primeranosti zohľadňujú potrebu zaistenia práva na účinný prostriedok nápravy a na spravodlivý proces, oprávnené záujmy strán konania a prípadne tretích strán a možnú ujmu spôsobenú ktorejkoľvek zo strán konania a prípadne ktorejkoľvek z tretích strán v dôsledku schválenia alebo zamietnutia takýchto opatrení.

4.   Spracovanie osobných údajov podľa odsekov 1, 2 alebo 3 musí byť v súlade so [smernicou 95/46].“

15

Ustanovenie § 4 ods. 6 Datenschutzgesetz (zákon o ochrane údajov) zo 17. augusta 1999 (BGBl. I, 165/1999), v znení uplatniteľnom na spor vo veci samej (ďalej len „DSG“), v zásade vylučuje prístup dotknutej osoby k jej osobným údajom stanovený v článku 15 GDPR, ak tento prístup poškodzuje obchodné alebo priemyselné tajomstvo prevádzkovateľa alebo tretej osoby.

16

Mobilný operátor odmietol s CK uzavrieť alebo predĺžiť zmluvu o poskytovaní mobilných telefónnych služieb, ktorá by zahŕňala mesačnú platbu sumy desiatich eur z dôvodu, že podľa automatizovaného posúdenia jej úverového ratingu, ktoré vykonala D & B, nemá dostatočnú finančnú bonitu.

17

CK sa obrátila na rakúsky orgán pre ochranu údajov, ktorý nariadil spoločnosti D & B, aby poskytla CK zmysluplné informácie o použitom postupe pri automatizovanom rozhodovaní založenom na osobných údajoch týkajúcich sa CK.

18

D & B podala proti rozhodnutiu tohto orgánu opravný prostriedok na Bundesverwaltungsgericht (Spolkový správny súd, Rakúsko), pričom v podstate tvrdila, že z dôvodu chráneného obchodného tajomstva nemusela poskytnúť CK informácie nad rámec tých, ktoré jej už boli poskytnuté.

19

Rozhodnutím z 23. októbra 2019 (ďalej len „rozhodnutie z 23. októbra 2019“) tento súd konštatoval, že D & B porušila článok 15 ods. 1 písm. h) GDPR tým, že neposkytla CK zmysluplné informácie o postupe použitom pri automatizovanom rozhodovaní založenom na osobných údajoch týkajúcich sa CK, alebo prinajmenšom tým, že dostatočne neodôvodnila, prečo nemôže poskytnúť tieto informácie.

20

V tomto rozhodnutí Bundesverwaltungsgericht (Spolkový správny súd) konkrétne uviedol, že D & B neposkytla CK dostatočné vysvetlenia, ktoré by jej umožnili pochopiť, ako bola stanovená prognóza týkajúca sa jej osoby o pravdepodobnosti jej budúceho správania („score“), ktorú jej táto spoločnosť oznámila so spresnením, že na účely získania tohto „score“ boli niektoré sociálno‑demografické údaje CK „ekvivalentne agregované“.

21

Rozhodnutie z 23. októbra 2019 nadobudlo právoplatnosť a je podľa rakúskeho práva vykonateľné. Návrh na nútený výkon tohto rozhodnutia podaný CK na Magistrát mesta Viedeň, ktorý je vykonávacím orgánom, však bol zamietnutý z dôvodu, že D & B si dostatočne splnila svoju informačnú povinnosť, hoci táto spoločnosť po prijatí tohto rozhodnutia neposkytla žiadne dodatočné informácie.

22

CK podala proti rozhodnutiu Magistrátu mesta Viedeň žalobu na Verwaltungsgericht Wien (Správny súd Viedeň, Rakúsko), vnútroštátny súd, ktorý podal návrh na začatie prejudiciálneho konania, na účely núteného výkonu rozhodnutia z 23. októbra 2019.

23

Vnútroštátny súd sa domnieva, že podľa rakúskeho práva je povinný vykonať toto posledné uvedené rozhodnutie, čo zahŕňa určenie konkrétnych úkonov, ktoré je D & B na základe tohto rozhodnutia povinná uskutočniť.

24

Keďže vnútroštátny súd zastával názor, že toto určenie môže vykonať len znalec s požadovanými odbornými znalosťami, ustanovil znalca, ktorý konštatoval, že D & B je na účely splnenia svojich povinností voči CK povinná poskytnúť tieto minimálne informácie:

25

S cieľom zabezpečiť, aby CK mohla overiť presnosť týchto minimálnych informácií po ich poskytnutí, by D & B mala poskytnúť aj zoznam, na ktorom by boli uvedené „scores“ osôb („scoring“) za obdobie šiestich mesiacov pred a šiestich mesiacov po stanovení „score“ CK, a ktoré boli získané na základe rovnakého pravidla výpočtu.

26

Podľa vnútroštátneho súdu iba poskytnutie minimálnych informácií identifikovaných uvedeným odborníkom umožňuje overiť konzistentnosť a správnosť informácií poskytnutých prevádzkovateľom podľa článku 15 ods. 1 písm. h) GDPR.

27

V prejednávanej veci viaceré skutočnosti jasne preukazujú, že informácie poskytnuté spoločnosťou D & B sú v rozpore so skutkovými okolnosťami. Hoci informácie oznámené CK, medzi ktoré patrí najmä získané „score“, svedčili o jej veľmi dobrej bonite, skutočné profilovanie viedlo k záveru, že nebola bonitná, a to ani pokiaľ ide o zaplatenie sumy desať eur mesačne na základe zmluvy o poskytovaní mobilných telefónnych služieb.

28

Vnútroštátny súd teda konštatuje, že vzniká otázka, či článok 15 ods. 1 písm. h) GDPR dotknutej osobe zaručuje možnosť overiť správnosť informácií poskytnutých prevádzkovateľom.

29

V prípade, že by článok 15 ods. 1 písm. h) GDPR toto overenie nezaručoval, právo na prístup k osobným údajom dotknutej osoby a ďalším informáciám, ktoré sú v ňom stanovené, by stratilo zmysel a bolo by zbytočné, a najmä preto, že každý prevádzkovateľ by v tomto prípade mohol poskytnúť nesprávne informácie.

30

Vzniká tiež otázka, či a prípadne v akom rozsahu môže výnimka založená na existencii obchodného tajomstva obmedziť toto právo na prístup k údajom, ktoré zaručujú ustanovenia článku 15 ods. 1 písm. h) v spojení s článkom 22 GDPR.

31

Vzhľadom na pravidlá stanovené v článku 9 smernice 2016/943 treba posúdiť, či je možné oznámiť informácie kvalifikované ako „obchodné tajomstvo“ v zmysle článku 2 bodu 1 tejto smernice len konajúcemu orgánu alebo súdu, aby tento orgán alebo súd samostatne overil, či treba dospieť k záveru, že skutočne existuje takéto obchodné tajomstvo, a či tieto informácie poskytnuté prevádzkovateľom v zmysle článku 15 ods. 1 GDPR zodpovedajú dotknutým skutkovým okolnostiam.

32

Napokon treba preskúmať, či také ustanovenie, akým je § 4 ods. 6 DSG, ktoré v zásade vylučuje právo dotknutej osoby na prístup k údajom stanovené v článku 15 GDPR, ak by tento prístup ohrozil obchodné alebo podnikové tajomstvo prevádzkovateľa alebo tretej osoby, možno považovať za ustanovenie, ktoré je v súlade s ustanoveniami článku 15 ods. 1 v spojení s článkom 22 ods. 3 GDPR.

33

Za týchto podmienok sa Verwaltungsgericht Wien (Správny súd Viedeň) rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:

34

Rozhodnutím z 8. decembra 2022 predseda Súdneho dvora prerušil toto konanie do vydania rozhodnutia, ktorým sa ukončí konanie vo veci C‑634/21, SCHUFA Holding a i. (Scoring).

35

V súlade s rozhodnutím predsedu Súdneho dvora z 13. decembra 2023 zaslala kancelária Súdneho dvora vnútroštátnemu súdu rozsudok zo 7. decembra 2023, SCHUFA Holding a i. (Scoring) (C‑634/21, EU:C:2023:957), a vyzvala ho, aby jej oznámil, či s prihliadnutím na tento rozsudok trvá na svojom návrhu na začatie prejudiciálneho konania.

36

Listom doručeným kancelárii Súdneho dvora 29. januára 2024 tento súd uviedol, že na svojom návrhu na začatie prejudiciálneho konania trvá, pretože rozsudok zo 7. decembra 2023, SCHUFA Holding a i. (Scoring) (C‑634/21, EU:C:2023:957), neumožňuje zodpovedať otázky, ktoré položil v prejednávanej veci.

37

Rozhodnutím zo 14. februára 2024 predseda Súdneho dvora tak rozhodol o pokračovaní konania v tejto veci.

38

Prvou a druhou otázkou, ako aj treťou otázkou písm. a), ktoré treba preskúmať spoločne, sa vnútroštátny súd v podstate pýta, či sa má článok 15 ods. 1 písm. h) GDPR vykladať v tom zmysle, že v prípade automatizovaného rozhodovania vrátane profilovania v zmysle článku 22 ods. 1 tohto nariadenia môže dotknutá osoba od prevádzkovateľa v rámci „zmysluplných informácií o použitom postupe“ požadovať vyčerpávajúce vysvetlenie postupu a zásad použitých v jej prípade na automatizované využitie jej osobných údajov na účely dosiahnutia určitého výsledku, napríklad profilu bonity.

39

Na úvod treba pripomenúť, že v súlade s ustálenou judikatúrou Súdneho dvora je na účely výkladu ustanovenia práva Únie potrebné zohľadniť nielen jeho znenie, ale aj jeho kontext a ciele sledované právnou úpravou, ktorej je súčasťou (rozsudok zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 19, ako aj citovaná judikatúra).

40

Pokiaľ ide v prvom rade o znenie článku 15 ods. 1 písm. h) GDPR, treba na jednej strane uviesť, že významy pojmu „zmysluplné informácie“ v zmysle tohto ustanovenia sa v jeho rôznych jazykových zneniach líšia, pričom niektoré z nich, podobne ako francúzske jazykové znenie, uprednostňujú funkčnosť („nuttige“ v holandskom jazyku, „úteis“ v portugalskom jazyku) alebo relevantnosť („pertinente“ v rumunskom jazyku) informácií, ktoré sa majú poskytnúť, zatiaľ čo iné zdôrazňujú ich význam („significativa“ v španielskom jazyku a „istotne“ v poľskom jazyku). Napokon tak v nemeckom, ako aj anglickom jazykovom znení uvedeného ustanovenia možno použitý výraz („aussagekräftig“ a „meaningful“) chápať ako odkaz na dobrú zrozumiteľnosť uvedených informácií, tak aj ako odkaz na ich určitú kvalitu.

41

Rozdielnosť významov použitých v rôznych jazykových zneniach pritom treba chápať v zmysle komplementárnosti významov uvedených v predchádzajúcom bode, ktoré treba zohľadniť pri výklade pojmu „zmysluplné informácie o použitom postupe“ v zmysle článku 15 ods. 1 písm. h) GDPR, ako v podstate uviedol generálny advokát v bode 65 svojich návrhov.

42

Na druhej strane vzhľadom na všeobecnú formuláciu tohto ustanovenia odkaz na „použitý postup“ pri automatizovanom rozhodovaní, ktorý predstavuje predmet uvedených „zmysluplných informácií“, môže zahŕňať širokú škálu „postupov“ využívania osobných údajov a ďalších údajov na účely automatického dosiahnutia určitého výsledku. Tento výklad je podporený niektorými jazykovými zneniami uvedeného ustanovenia, ktoré používajú výrazy, ktoré doplnkovo odkazujú na rôzne aspekty spoločného chápania pojmu „postup“. Napríklad v českom jazykovom znení sa odkazuje na výrazy „postup“ a v poľskom znení na výraz „zasady“ („zásady“).

43

Treba preto konštatovať, že znenie článku 15 ods. 1 písm. h) GDPR sa vzťahuje na všetky zmysluplné informácie týkajúce sa postupu a zásad automatizovaného využívania osobných údajov na účely dosiahnutia určitého výsledku.

44

Pokiaľ ide ďalej o kontext, do ktorého patrí pojem „zmysluplné informácie o použitom postupe“ uvedený v článku 15 ods. 1 písm. h) GDPR, treba v prvom rade zdôrazniť, že tieto informácie sú len časťou informácií, ktorých sa týka právo na prístup k údajom stanovené v tomto článku, ktorý sa týka aj informácií o význame a predpokladaných dôsledkoch dotknutého spracúvania pre dotknutú osobu.

45

Hoci tieto posledné uvedené informácie, ktoré podľa usmernení k automatizovanému individuálnemu rozhodovaniu a profilovaniu na účely nariadenia (EÚ) 2016/679 prijatých 3. októbra 2017 pracovnou skupinou zriadenou článkom 29 smernice 95/46, v ich revidovanom znení prijatom 6. februára 2018 musia na to, aby boli zmysluplné a zrozumiteľné, byť doplnené o „skutočné a hmatateľné príklady“, nie sú predmetom otázok položených vnútroštátnym súdom, treba ich však zohľadniť ako súčasť kontextu, do ktorého patrí pojem „zmysluplné informácie o použitom postupe“.

46

V druhom rade vzhľadom na skutočnosť, že pojem „zmysluplné informácie o použitom postupe“ sa nachádza aj v článku 13 ods. 2 písm. f) a článku 14 ods. 2 písm. g) GDPR, Súdny dvor už konštatoval, že v prípade automatizovaného rozhodovania v zmysle článku 22 ods. 1 tohto nariadenia tvorí právo na prístup k takýmto informáciám zakotvené v jeho článku 15 ods. 1 písm. h) jeden celok s dodatočnými informačnými povinnosťami, ktoré má prevádzkovateľ podľa tohto článku 13 ods. 2 písm. f) a článku 14 ods. 2 písm. g) GDPR [pozri v tomto zmysle rozsudok zo 7. decembra 2023, SCHUFA Holding a i. (Scoring), C‑634/21, EU:C:2023:957, bod 56].

47

V treťom rade, ako v podstate uviedol generálny advokát v bodoch 58 až 60 svojich návrhov, v rámci kontextuálneho výkladu práv na prístup k údajom stanovených pre prípad automatizovaného rozhodovania treba zohľadniť judikatúru Súdneho dvora týkajúcu sa požiadaviek, ktoré musí prevádzkovateľ dodržiavať podľa článku 15 ods. 3 GDPR.

48

Treba preto zohľadniť najmä skutočnosť, že požiadavka transparentnosti poskytnutých informácií stanovená v článku 12 ods. 1 GDPR sa uplatňuje na všetky údaje a informácie uvedené v danom článku 15 vrátane tých, ktoré sa týkajú automatizovaného rozhodovania.

49

S cieľom zabezpečiť, aby dotknutá osoba mohla plne porozumieť informáciám, ktoré jej poskytol prevádzkovateľ, uvedený článok 12 ods. 1 ukladá prevádzkovateľovi povinnosť prijať vhodné opatrenia najmä s cieľom poskytnúť dotknutej osobe tieto údaje a informácie v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme, formulované jasne a jednoducho (pozri v tomto zmysle rozsudok zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 38).

50

Preskúmanie kontextu, do ktorého patrí článok 15 ods. 1 písm. h) GDPR, tak potvrdzuje výklad, ktorý vyplýva z analýzy znenia tohto ustanovenia, podľa ktorého „zmysluplné informácie o použitom postupe“ automatizovaného rozhodovania v zmysle tohto ustanovenia tvoria všetky relevantné informácie týkajúce sa postupu a zásad využívania osobných údajov na účely automatizovaného dosiahnutia konkrétneho výsledku, pričom povinnosť transparentnosti okrem toho vyžaduje, aby tieto informácie boli poskytnuté v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme.

51

Pokiaľ ide napokon o ciele GDPR, treba pripomenúť, že cieľ tohto nariadenia spočíva najmä v zabezpečení vysokej úrovne ochrany základných práv a slobôd fyzických osôb, najmä ich práva na súkromie v súvislosti so spracúvaním osobných údajov zakotveného v článku 16 ZFEÚ a ako základného práva v článku 8 ods. 1 Charty, ktoré dopĺňa právo na súkromný život zaručené v jej článku 7 [pozri v tomto zmysle rozsudok zo 4. októbra 2024, Schrems (Sprístupnenie údajov širokej verejnosti), C‑446/21, EU:C:2024:834, bod 45 a citovanú judikatúru].

52

Ako teda spresňuje navyše jeho odôvodnenie 11, účelom GDPR je posilniť a spresniť práva dotknutých osôb (rozsudok zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 33, ako aj citovaná judikatúra).

53

Pokiaľ ide konkrétne o právo na prístup k údajom stanovené v článku 15 GDPR, z judikatúry Súdneho dvora vyplýva, že toto právo musí dotknutej osobe umožniť uistiť sa, že osobné údaje, ktoré sa jej týkajú, sú správne a že sa spracúvajú zákonným spôsobom [rozsudky zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 34, ako aj z 26. októbra 2023, FT (Kópie lekárskeho záznamu), C‑307/22, EU:C:2023:811, bod 73].

54

Toto právo na prístup k údajom je nevyhnutné na to, aby dotknutá osoba mohla prípadne vykonať svoje právo na opravu, svoje právo na vymazanie („právo na zabudnutie“) a svoje právo na obmedzenie spracúvania, ktoré jej priznávajú články 16, 17 a 18 GDPR, ako aj svoje právo namietať proti spracúvaniu svojich osobných údajov stanovené v článku 21 GDPR a svoje právo na prostriedok nápravy a svoje právo na náhradu škody, stanovené v článkoch 79 a 82 GDPR (pozri v tomto zmysle rozsudok zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 35).

55

Konkrétne v osobitnom kontexte prijatia rozhodnutia založeného výlučne na automatizovanom spracúvaní je hlavným účelom práva dotknutej osoby na získanie informácií stanovených v článku 15 ods. 1 písm. h) GDPR umožniť jej účinne vykonávať práva, ktoré jej priznáva článok 22 ods. 3 tohto nariadenia, a to právo vyjadriť svoje stanovisko k tomuto rozhodnutiu a právo napadnúť toto rozhodnutie.

56

Ak by totiž osoby dotknuté automatizovaným rozhodnutím, vrátane profilovania, neboli schopné pochopiť dôvody, ktoré viedli k tomuto rozhodnutiu, predtým, ako vyjadrili svoje stanovisko alebo ho napadli, tieto práva by preto nemohli v plnom rozsahu splniť svoj účel ochrany týchto osôb pred osobitnými rizikami pre ich práva a slobody, ktoré predstavuje automatizované spracúvanie ich osobných údajov [pozri v tomto zmysle rozsudok zo 7. decembra 2023, SCHUFA Holding a i. (Scoring), C‑634/21, EU:C:2023:957, bod 57].

57

V tejto súvislosti z odôvodnenia 71 GDPR vyplýva, že ak sa na dotknutú osobu vzťahuje rozhodnutie prijaté výlučne na základe automatizovaného spracúvania, ktoré sa jej významne dotýka, táto osoba musí mať právo získať vysvetlenie tohto rozhodnutia. Ako uviedol generálny advokát v bode 67 svojich návrhov, treba teda konštatovať, že článok 15 ods. 1 písm. h) GDPR poskytuje dotknutej osobe skutočné právo na vysvetlenie fungovania mechanizmu, na ktorom je založené automatizované rozhodovanie, ktoré sa týkalo tejto osoby, a výsledku, ku ktorému toto rozhodnutie viedlo.

58

Z preskúmania cieľov GDPR, a najmä z jeho článku 15 ods. 1 písm. h) vyplýva, že právo na získanie „zmysluplných informácií o použitom postupe“ pri automatizovanom rozhodovaní v zmysle tohto ustanovenia treba chápať ako právo na vysvetlenie postupu a zásad konkrétne použitých na automatizované využívanie osobných údajov dotknutej osoby na účely dosiahnutia konkrétneho výsledku, napríklad profilu bonity. S cieľom umožniť dotknutej osobe účinne vykonávať práva, ktoré jej priznáva GDPR, a najmä jeho článok 22 ods. 3, musí byť toto vysvetlenie poskytnuté prostredníctvom relevantných informácií a v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme.

59

Tieto požiadavky nemôže spĺňať ani jednoduché oznámenie zložitého matematického vzorca, akým je algoritmus, ani podrobný opis všetkých krokov automatizovaného rozhodovania, keďže žiadny z týchto spôsobov nepredstavuje dostatočne stručné a zrozumiteľné vysvetlenie.

60

Ako totiž vyplýva zo strany 28 usmernení k automatizovanému individuálnemu rozhodovaniu a profilovaniu na účely nariadenia (EÚ) 2016/679, uvedených v bode 45 tohto rozsudku, prevádzkovateľ by mal jednak nájsť jednoduché spôsoby, ako informovať dotknutú osobu o dôvodoch automatizovaného rozhodnutia alebo o kritériách, na ktorých je založené. GDPR jednak vyžaduje, aby uvedený prevádzkovateľ poskytol zmysluplné informácie o použitom postupe pri tomto rozhodnutí, „ale nie nevyhnutne komplexné vysvetlenie použitých algoritmov alebo zverejnenie celého algoritmu“.

61

„Zmysluplné informácie o použitom postupe“ pri automatizovanom rozhodovaní v zmysle článku 15 ods. 1 písm. h) GDPR tak musia opísať konkrétne použitý postup a zásady, aby dotknutá osoba mohla pochopiť, ktoré z jej osobných údajov boli akým spôsobom použité pri prijímaní dotknutého automatizovaného rozhodovania, pričom zložitosť operácií vykonávaných v rámci automatizovaného rozhodovania nemôže oslobodiť prevádzkovateľa povinnosti poskytnúť vysvetlenie.

62

Pokiaľ ide konkrétne o také profilovanie, o aké ide vo veci samej, vnútroštátny súd by mohol považovať za dostatočne transparentné a zrozumiteľné najmä informovanie dotknutej osoby o rozsahu, v akom by zmena zohľadnených osobných údajov viedla k odlišnému výsledku.

63

Vzhľadom na to ešte treba spresniť, že pokiaľ ide o otázku, či poskytnuté informácie musia dotknutej osobe umožniť overiť správnosť osobných údajov, ktoré sa jej týkajú a na ktorých sa zakladá automatizované rozhodovanie, právo na prístup k uvedeným údajom neupravuje článok 15 ods. 1 písm. h) GDPR, ale úvodná veta toho istého odseku, ktorá dotknutej osobe zaručuje možnosť ubezpečiť sa o správnosti týchto údajov, ako vyplýva z judikatúry citovanej v bode 53 tohto rozsudku.

64

Napokon, pokiaľ ide o tvrdenie vnútroštátneho súdu, že informácie, ktoré D & B poskytla CK na základe článku 15 ods. 1 písm. h) GDPR, sú v rozpore so skutkovými okolnosťami, keďže „skutočné“ profilovanie viedlo k záveru, že nie je bonitná, hoci uvedené informácie naznačujú opak, treba uviesť, že pokiaľ podľa tohto súdu takto zistený nesúlad vyplýva z toho, že D & B neinformovala CK o profilovaní, ktorému bola podrobená na účely mobilného operátora, ktorý s ňou na tomto základe odmietol uzavrieť alebo predĺžiť zmluvu, mal by sa napraviť prostredníctvom práva na prístup k takto stanovenému profilu bonity. V tejto súvislosti z judikatúry Súdneho dvora vyplýva, že na osobné údaje, ktoré vytvoril samotný prevádzkovateľ, sa vzťahuje článok 14 GDPR (pozri v tomto zmysle rozsudok z 28. novembra 2024, Másdi, C‑169/23, EU:C:2024:988, bod 48).

65

Naproti tomu vysvetlenie rozdielov existujúcich medzi výsledkom takéhoto „skutočného“ profilovania, aj keby bolo preukázané, a výsledkom oznámeným CK spoločnosťou D & B a získaným podľa tejto spoločnosti „ekvivalentnou agregáciou“ údajov týkajúcich sa CK, by skutočne patrilo pod „zmysluplné informácie o použitom postupe“ takto vykonaného profilovania. V súlade s tým, čo bolo uvedené v bode 58 tohto rozsudku, je teda D & B povinná v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme vysvetliť postup a zásady, na základe ktorých bol dosiahnutý výsledok „skutočného“ profilovania.

66

Z vyššie uvedeného vyplýva, že na prvú a druhú otázku, ako aj na tretiu otázku písm. a) treba odpovedať tak, že článok 15 ods. 1 písm. h) GDPR sa má vykladať v tom zmysle, že v prípade automatizovaného rozhodovania vrátane profilovania v zmysle článku 22 ods. 1 tohto nariadenia môže dotknutá osoba od prevádzkovateľa v rámci „zmysluplných informácií o použitom postupe“ požadovať, aby jej prostredníctvom relevantných informácií a v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme vysvetlil postup a zásady použité v jej prípade na automatizované využitie jej osobných údajov na účely dosiahnutia určitého výsledku, napríklad profilu bonity.

67

Svojou treťou otázkou písm. b) a c), štvrtou otázkou písm. a) a b), ako aj piatou a šiestou otázkou, ktoré treba preskúmať spoločne, sa vnútroštátny súd v podstate pýta, či sa má článok 15 ods. 1 písm. h) GDPR vykladať v tom zmysle, že v prípade, že sa prevádzkovateľ domnieva, že informácie, ktoré sa majú poskytnúť dotknutej osobe v súlade s týmto ustanovením, obsahujú údaje tretích osôb chránené týmto nariadením alebo obchodné tajomstvo v zmysle článku 2 bodu 1 smernice 2016/943, je tento prevádzkovateľ povinný oznámiť tieto údajne chránené informácie príslušnému dozornému orgánu alebo súdu, ktorým prináleží vyvážiť dotknuté práva a záujmy na účely určenia rozsahu práva dotknutej osoby na prístup k údajom stanoveného v článku 15 GDPR.

68

V tejto súvislosti treba pripomenúť, že podľa odôvodnenia 4 GDPR právo na ochranu osobných údajov nie je absolútnym právom a musí byť vyvážené s ostatnými základnými právami v súlade so zásadou proporcionality. GDPR tak rešpektuje všetky základné práva a dodržiava slobody a zásady uznané v Charte, ktoré sú zakotvené v Zmluvách [rozsudok z 26. októbra 2023, FT (Kópie lekárskeho záznamu), C‑307/22, EU:C:2023:811, bod 59 a citovaná judikatúra].

69

Navyše sa v odôvodnení 63 tohto nariadenia uvádza, že právo každej dotknutej osoby na prístup k osobným údajom, ktoré o nej boli zhromaždené, by sa nemalo nepriaznivo dotknúť práv alebo slobôd iných osôb, ani obchodného tajomstva alebo práv duševného vlastníctva a najmä autorských práv týkajúcich sa softvéru.

70

Výsledkom zohľadnenia týchto skutočností by však nemalo byť odmietnutie poskytnutia akýchkoľvek informácií dotknutej osobe. Článok 23 ods. 1 písm. i) tohto nariadenia tak v podstate stanovuje, že obmedzenie rozsahu povinností a práv stanovených najmä v jeho článku 15 je možné len vtedy, ak takéto obmedzenie rešpektuje podstatu základných práv a slobôd a predstavuje nevyhnutné a primerané opatrenie v demokratickej spoločnosti s cieľom zaistiť ochranu práv a slobôd iných.

71

Pokiaľ ide o právo súvisiace s právom na získanie kópie, zakotveným v článku 15 ods. 4 GDPR, Súdny dvor už uviedol, že jeho uplatnenie nesmie mať nepriaznivé dôsledky na práva a slobody iných vrátane obchodného tajomstva alebo práva duševného vlastníctva a najmä autorských práv týkajúcich sa softvéru (pozri v tomto zmysle rozsudok zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 43).

72

V tomto kontexte Súdny dvor uviedol, že v prípade rozporu medzi výkonom práva na úplný a celkový prístup k osobným údajom na jednej strane a právami alebo slobodami iných osôb na druhej strane bude potrebné vykonať vyváženie predmetných práv a slobôd. Pokiaľ je to možné, mali by sa zvoliť také spôsoby oznamovania osobných údajov, ktoré nezasahujú do práv alebo slobôd iných, pričom treba zohľadniť skutočnosť, že výsledkom zohľadnenia takých úvah „by však nemalo byť odmietnutie poskytnutia akýchkoľvek informácií dotknutej osobe“, ako vyplýva z odôvodnenia 63 GDPR (rozsudok zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 44).

73

Pokiaľ ide o otázku, ako možno právo na prístup k údajom zakotvené v článku 15 ods. 1 písm. h) GDPR vykonávať spôsobom, ktorý rešpektuje práva a slobody iných, treba pripomenúť, že podľa judikatúry môže vnútroštátny súd považovať za potrebné, aby mu boli oznámené osobné údaje účastníkov konania alebo tretích osôb na účely vyváženia dotknutých záujmov s úplnou znalosťou veci a pri dodržaní zásady proporcionality. Toto posúdenie môže prípadne viesť k povoleniu úplného alebo čiastočného sprístupnenia osobných údajov, ktoré mu boli takto poskytnuté, protistrane, ak sa domnieva, že takéto sprístupnenie nejde nad rámec toho, čo je nevyhnutné na zabezpečenie účinného využívania práv, ktoré osobám podliehajúcim súdnej právomoci vyplývajú z článku 47 Charty (rozsudok z 2. marca 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, bod 58).

74

Ako uviedol generálny advokát v bode 94 svojich návrhov, túto judikatúru možno v plnom rozsahu uplatniť na prípad, keď informácie, ktoré sa majú poskytnúť dotknutej osobe na základe práva na prístup k údajom zaručeného článkom 15 ods. 1 písm. h) GDPR, môžu viesť k porušeniu práv a slobôd iných, najmä preto, že obsahujú osobné údaje tretích osôb chránené uvedeným nariadením alebo obchodné tajomstvo v zmysle článku 2 bodu 1 smernice 2016/943. Aj v tomto prípade musia byť uvedené informácie oznámené príslušnému dozornému orgánu alebo súdu, ktoré sú zodpovedné za vyváženie dotknutých práv a záujmov na účely určenia rozsahu práva dotknutej osoby na prístup k osobným údajom, ktoré sa jej týkajú.

75

Pokiaľ ide o potrebu takého určenia v každom jednotlivom prípade, článok 15 ods. 1 písm. h) GDPR bráni najmä uplatneniu ustanovenia, akým je ustanovenie § 4 ods. 6 DSG, ktoré v zásade vylučuje právo dotknutej osoby na prístup k údajom stanovené v článku 15 GDPR, ak by takýto prístup ohrozil obchodné alebo podnikové tajomstvo prevádzkovateľa alebo tretej osoby. V tejto súvislosti treba pripomenúť, že členský štát nemôže s konečnou platnosťou stanoviť výsledok vyváženia dotknutých práv a záujmov v každom jednotlivom prípade, ktoré ukladá právo Únie [pozri v tomto zmysle rozsudok zo 7. decembra 2023, SCHUFA Holding a i. (Scoring), C‑634/21, EU:C:2023:957, bod 70, ako aj citovanú judikatúru].

76

S prihliadnutím na všetky predchádzajúce úvahy treba na tretiu otázku písm. b) a c), štvrtú otázku písm. a) a b), ako aj na piatu a šiestu otázku odpovedať tak, že článok 15 ods. 1 písm. h) GDPR sa má vykladať v tom zmysle, že v prípade, že sa prevádzkovateľ domnieva, že informácie, ktoré sa majú poskytnúť dotknutej osobe v súlade s týmto ustanovením, obsahujú údaje tretích osôb chránené týmto nariadením alebo obchodné tajomstvo v zmysle článku 2 bodu 1 smernice 2016/943, je tento prevádzkovateľ povinný oznámiť tieto údajne chránené informácie príslušnému dozornému orgánu alebo súdu, ktorým prináleží vyvážiť dotknuté práva a záujmy na účely určenia rozsahu práva dotknutej osoby na prístup k údajom stanoveného v článku 15 GDPR.

77

Vzhľadom na to, že konanie má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.

Z týchto dôvodov Súdny dvor (prvá komora) rozhodol takto: