–

za CK C. Wirthensohn, Rechtsanwalt,

–

za Dun & Bradstreet Austria GmbH D. Cooper, solicitor, A.-S. Oberschelp de Meneses, avocate, K. Van Quathem in B. Van Vooren, advocaten,

–

za špansko vlado A. Ballesteros Panizo, agent,

–

za nizozemsko vlado M. K. Bulterman in C. S. Schillemans, agentki,

–

za poljsko vlado B. Majczyna, agent,

–

za Evropsko komisijo A. Bouchagiar, F. Erlbacher in H. Kranenborg, agenti,

1

Predlog za sprejetje predhodne odločbe se nanaša na razlago, prvič, člena 15(1)(h) in člena 22 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, v nadaljevanju: SUVP), in drugič, člena 2, točka 1, Direktive (EU) 2016/943 Evropskega parlamenta in Sveta z dne 8. junija 2016 o varstvu nerazkritega strokovnega znanja in izkušenj ter poslovnih informacij (poslovnih skrivnosti) pred njihovo protipravno pridobitvijo, uporabo in razkritjem (UL 2016, L 157, str. 1).

2

Ta predlog je bil vložen v okviru spora med osebo CK in Magistrat der Stadt Wien (občinska uprava mesta Dunaj, Avstrija) v zvezi z izvršbo sodne odločbe, s katero je bilo družbi Bisnode Austria GmbH – postala družba Dun & Bradstreet Austria GmbH (v nadaljevanju: D & B) – ki podeljuje bonitetne ocene, naloženo, da osebi CK zagotovi smiselne informacije o razlogih za oblikovanje profilov v zvezi z njenimi osebnimi podatki.

3

V uvodnih izjavah 4, 11, 58, 63 in 71 SUVP je navedeno:

[…]

[…]

[…]

[…]

4

Člen 4, točka 4, te uredbe, naslovljen „Opredelitev pojmov“, določa:

„V tej uredbi:

[…]

5

Člen 12 navedene uredbe, naslovljen „Pregledne informacije, sporočila in načini za uresničevanje pravic posameznika, na katerega se nanašajo osebni podatki“, v odstavku 1 določa:

„Upravljavec sprejme ustrezne ukrepe, s katerimi zagotovi posamezniku, na katerega se nanašajo osebni podatki, vse informacije iz členov 13 in 14 ter sporočila iz členov 15 do 22 in 34, povezana z obdelavo, v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku, kar velja zlasti za vse informacije, namenjene posebej otroku. […]“

6

Člen 13 te uredbe, ki se nanaša na informacije, ki se zagotovijo, kadar se osebni podatki pridobijo od posameznika, na katerega se ti nanašajo, in člen 14 te uredbe, ki se nanaša informacije, ki jih je treba zagotoviti, kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se ti nanašajo, v odstavku 2(f) oziroma v odstavku 2(g) določata, da mora upravljavec podatkov posamezniku, na katerega se nanašajo osebni podatki, za zagotavljanje poštene in pregledne obdelave v zvezi z njim med drugim zagotoviti informacije, ki se nanašajo na „obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22(1) in (4), ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki“.

7

Člen 15 SUVP, naslovljen „Pravica dostopa posameznika, na katerega se nanašajo osebni podatki“, določa:

„1.   Posameznik, na katerega se nanašajo osebni podatki, ima pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije:

[…]

[…]

3.   Upravljavec zagotovi kopijo osebnih podatkov, ki se obdelujejo. Za dodatne kopije, ki jih zahteva posameznik, na katerega se nanašajo osebni podatki, lahko upravljavec zaračuna razumno pristojbino ob upoštevanju administrativnih stroškov. Kadar posameznik, na katerega se nanašajo osebni podatki, zahtevo predloži z elektronskimi sredstvi, in če posameznik, na katerega se nanašajo osebni podatki, ne zahteva drugače, se informacije zagotovijo v elektronski obliki, ki je splošno uporabljana.

4.   Pravica do pridobitve kopije iz odstavka 3 ne vpliva negativno na pravice in svoboščine drugih.“

8

Člen 22 te uredbe, naslovljen „Avtomatizirano sprejemanje posameznih odločitev, vključno z oblikovanjem profilov“, določa:

„1.   Posameznik, na katerega se nanašajo osebni podatki, ima pravico, da zanj ne velja odločitev, ki temelji zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov, ki ima pravne učinke v zvezi z njim ali na podoben način nanj znatno vpliva.

2.   Odstavek 1 se ne uporablja, če je odločitev:

3.   V primerih, navedenih v točkah (a) in (c) odstavka 2, upravljavec podatkov izvede ustrezne ukrepe za zaščito pravic in svoboščin ter zakonitih interesov posameznika, na katerega se nanašajo osebni podatki, vsaj pravice do osebnega posredovanja upravljavca, do izražanja lastnega stališča in izpodbijanja odločitve.

4.   Odločitve iz odstavka 2 ne temeljijo na posebnih vrstah osebnih podatkov iz člena 9(1), razen če se uporablja točka (a) ali (g) člena 9(2) in se izvajajo ustrezni ukrepi za zaščito pravic in svoboščin ter zakonitih interesov posameznika, na katerega se nanašajo osebni podatki.“

9

Člen 23 navedene uredbe, naslovljen „Omejitve“, določa:

„1.   Pravo Unije ali pravo države članice, ki velja za upravljavca ali obdelovalca podatkov, lahko z zakonodajnim ukrepom omeji obseg obveznosti in pravic iz členov 12 do 22 in člena 34, pa tudi člena 5, kolikor njegove določbe ustrezajo pravicam in obveznostim iz členov 12 do 22, če taka omejitev spoštuje bistvo temeljnih pravic in svoboščin ter je potreben in sorazmeren ukrep v demokratični družbi za zagotavljanje:

[…]

(i) varstva posameznika, na katerega se nanašajo osebni podatki, ali pravic in svoboščin drugih;

[…]

2.   Zlasti vsak zakonodajni ukrep iz odstavka 1 vsebuje posebne določbe vsaj, kjer je ustrezno, glede:

10

Člen 54 te uredbe, naslovljen „Pravila o ustanovitvi nadzornega organa“, v odstavku 2 določa:

Član oziroma člani in osebje posameznega nadzornega organa so v skladu s pravom Unije ali pravom države članice tako med svojim mandatom kot po njem dolžni varovati poklicne skrivnosti v zvezi z vsemi zaupnimi informacijami, s katerimi so se seznanili med opravljanjem svojih nalog ali izvajanjem svojih pooblastil. V času njihovega mandata ta dolžnost varovanja poklicne skrivnosti velja zlasti za poročanje posameznikov o kršitvah te uredbe.“

11

Člen 58 SUVP, naslovljen „Pooblastila“, v odstavku 1(e) določa:

„Vsak nadzorni organ ima vsa naslednja preiskovalna pooblastila:

12

V uvodni izjavi 35 Direktive 2016/943 je navedeno:

„[…] Ta direktiva […] ne bi smela vplivati na pravice in obveznosti iz [Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 335)], zlasti pravice posameznika, na katerega se nanašajo osebni podatki, da dostopa do svojih osebnih podatkov, ki se obdelujejo, in doseže popravek, izbris ali blokiranje podatkov, kadar so nepopolni ali nenatančni […]“.

13

Člen 2, točka 1, te direktive določa:

„V tej direktivi se uporabljajo naslednje opredelitve pojmov:

14

Člen 9 navedene direktive, naslovljen „Ohranitev zaupnosti poslovne skrivnosti med sodnim postopkom“, določa:

„1.   Države članice zagotovijo, da strankam v postopku, njihovim odvetnikom ali drugim zastopnikom, sodnim delavcem, pričam, sodnim izvedencem in vsem drugim osebam, ki so udeležene v sodnem postopku v zvezi s protipravno pridobitvijo, uporabo ali razkritjem poslovne skrivnosti ali ki imajo dostop do dokumentov, ki so del navedenega sodnega postopka, ni dovoljeno uporabiti ali razkriti nobene poslovne skrivnosti ali domnevne poslovne skrivnosti, ki so jo pristojni sodni organi kot odziv na ustrezno utemeljen zahtevek zainteresirane strani opredelili kot zaupno in s katero so bili seznanjeni na podlagi takšne udeležbe v postopku ali dostopa. V zvezi s tem lahko države članice pristojnim sodnim organom dovolijo tudi, da ukrepajo na lastno pobudo.

Obveznost iz prvega pododstavka ostane veljavna po zaključku sodnega postopka. Vendar takšna obveznost preneha v kateri koli od naslednjih okoliščin:

2.   Države članice zagotovijo tudi, da lahko pristojni sodni organi na podlagi ustrezno utemeljenega zahtevka ene od strank v postopku sprejmejo posebne ukrepe, ki so potrebni za ohranitev zaupnosti katere koli poslovne skrivnosti ali domnevne poslovne skrivnosti, ki je bila uporabljena ali omenjena med sodnim postopkom v zvezi s protipravno pridobitvijo, uporabo ali razkritjem poslovne skrivnosti. Države članice lahko pristojnim sodnim organom dovolijo tudi, da takšne ukrepe sprejmejo na lastno pobudo.

Ukrepi iz prvega pododstavka vključujejo vsaj možnost:

Število oseb iz točk (a) in (b) drugega pododstavka je le tolikšno, kot je potrebno, da se zagotovi spoštovanje pravice strank v sodnem postopku do učinkovitega pravnega sredstva in poštenega sojenja za stranke v postopku, in vključuje najmanj eno fizično osebo vsake stranke in odvetnike ali druge zastopnike strank v sodnem postopku.

3.   Pristojni sodni organi pri odločanju o ukrepih iz odstavka 2 ter pri oceni njihove sorazmernosti upoštevajo potrebo po spoštovanju pravice do učinkovitega pravnega sredstva in poštenega sojenja, legitimne interese strank v postopku in, kadar je ustrezno, tretjih oseb ter kakršno koli morebitno škodo, ki izhaja iz odreditve takšnih ukrepov ali njihove zavrnitve in je povzročena kateri koli od strank v postopku in, kadar je ustrezno, tretjim osebam.

4.   Vsaka obdelava osebnih podatkov na podlagi odstavkov 1, 2 ali 3 se izvaja v skladu z Direktivo 95/46/ES.“

15

Člen 4(6) Datenschutzgesetz (zakon o varstvu osebnih podatkov) z dne 17. avgusta 1999 (BGBl. I, 165/1999) v različici, ki se uporablja za spor o glavni stvari (v nadaljevanju: DSG), načeloma posamezniku, na katerega se nanašajo osebni podatki, onemogoča dostop na podlagi člena 15 SUVP, kadar bi bila z zagotovitvijo tega dostopa ogrožena poslovna skrivnost upravljavca oziroma tretjih oseb.

16

Osebi CK je operater mobilne telefonije zavrnil sklenitev oziroma podaljšanje pogodbe o naročniškem razmerju za mobilne komunikacijske storitve, za katerega bi morala mesečno plačevati deset EUR, z obrazložitvijo, da glede na bonitetno oceno, ki jo je z avtomatiziranimi sredstvi pripravila družba D & B, nima zadostne plačilne sposobnosti.

17

Oseba CK se je obrnila na avstrijski organ za varstvo podatkov, ki je družbi D & B odredil, naj osebi CK posreduje smiselne informacije o razlogih za avtomatizirano sprejemanje odločitev na podlagi osebnih podatkov, ki so se nanašali na osebo CK.

18

Družba D & B je zoper odločbo tega organa vložila tožbo pri Bundesverwaltungsgericht (zvezno upravno sodišče, Avstrija) in v bistvu trdila, da ji zaradi varovanja poslovne skrivnosti osebi CK ni bilo treba posredovati dodatnih informacij poleg tistih, ki ji jih je že posredovala.

19

Navedeno sodišče je z odločbo z dne 23. oktobra 2019 (v nadaljevanju: odločba z dne 23. oktobra 2019) ugotovilo, da je družba D & B kršila člen 15(1)(h) SUVP, ker osebi CK ni zagotovila smiselnih informacij o razlogih za avtomatizirano sprejetje odločitve na podlagi osebnih podatkov, ki so se nanašali na osebo CK, ali vsaj s tem, ker ni zadostno obrazložila, zakaj teh informacij ni mogla zagotoviti.

20

Natančneje, Bundesverwaltungsgericht (zvezno upravno sodišče) je ugotovilo, da družba D & B osebi CK ni podala zadostne obrazložitve, da bi lahko razumela, kako je bila izdelana napoved, ki se je nanašala nanjo, glede verjetnosti njenega prihodnjega ravnanja („score“), ki ji jo je ta družba posredovala s pojasnilom, da so bili za pridobitev tega „score“ nekateri socialno-demografski podatki osebe CK „ustrezno zbrani“.

21

Odločba z dne 23. oktobra 2019 je v skladu z avstrijskim pravom postala pravnomočna in izvršljiva. Vendar je bil predlog za izvršbo te odločbe, ki ga je oseba CK vložila pri občinski upravi mesta Dunaj, ki je izvršilni organ, zavrnjen z obrazložitvijo, da je družba D & B – čeprav osebi CK po sprejetju te odločbe ni posredovala nobenih dodatnih informacij – zadostno izpolnila svojo obveznost posredovanja informacij.

22

Oseba CK je zoper to odločbo občinske uprave mesta Dunaj vložila tožbo pri Verwaltungsgericht Wien (upravno sodišče na Dunaju, Avstrija), ki je predložitveno sodišče, za prisilno izvršbo odločbe z dne 23. oktobra 2019.

23

Predložitveno sodišče meni, da mora na podlagi avstrijskega prava zadnjenavedeno odločbo izvršiti, kar pomeni, da mora določiti konkretna dejanja, ki jih mora družba D & B izvesti na njeni podlagi.

24

Predložitveno sodišče je menilo, da lahko to določitev opravi le strokovnjak z zahtevanimi sposobnostmi, zato je imenovalo izvedenca, ki je menil, da mora družba D & B za izpolnitev svojih obveznosti do osebe CK predložiti najmanj te informacije:

25

Za zagotovitev, da lahko oseba CK te minimalne informacije po tem, ko so ji posredovane, preveri, bi ji morala družba D & B predložiti tudi seznam „scores“ oseb („scoring“) za obdobje šestih mesecev pred in po določitvi „score“ osebe CK, pridobljenih na podlagi istega pravila za izračun.

26

Predložitveno sodišče meni, da bi bilo mogoče le na podlagi posredovanja minimalnih informacij, ki jih je opredelil navedeni izvedenec, preveriti skladnost in pravilnost informacij, ki jih je upravljavec predložil na podlagi člena 15(1)(h) SUVP.

27

V obravnavani zadevi naj bi bilo iz več indicev jasno razvidno, da so informacije, ki jih je predložila družba D & B, v nasprotju z dejstvi. Namreč, čeprav naj bi informacije, ki so bile posredovane osebi CK in med katerimi je tudi pridobljen „score“, dokazovale njeno zelo dobro plačilno sposobnost, naj bi dejansko oblikovanje profilov pripeljalo do tega, da se je štela za plačilno nesposobno, in to tudi za plačilo zneska deset EUR na mesec na podlagi pogodbe o naročniškem razmerju za mobilne komunikacijske storitve.

28

Predložitveno sodišče meni, da se torej postavlja vprašanje, ali člen 15(1)(h) SUVP posamezniku, na katerega se nanašajo osebni podatki, zagotavlja možnost preveritve pravilnosti informacij, ki mu jih je posredoval upravljavec.

29

Če člen 15(1)(h) SUVP ne zagotavlja te preveritve, naj v tem členu določena pravica do dostopa do osebnih podatkov posameznika, na katerega se nanašajo, in do drugih informacij ne bi imela nikakršnega obsega in naj bi bila neuporabna, saj bi lahko v tem primeru vsak upravljavec zagotovil napačne informacije.

30

Postavljalo naj bi se tudi vprašanje, ali in – odvisno od primera – v kolikšnem obsegu se lahko z izjemo zaradi obstoja poslovne skrivnosti omeji ta pravica do dostopa, ki je zagotovljena s členom 15(1)(h) v povezavi s členom 22 SUVP.

31

Ob upoštevanju pravil iz člena 9 Direktive 2016/943 naj bi bilo treba presoditi, ali je zaželeno, da se informacije, ki so opredeljene kot „poslovna skrivnost“ v smislu člena 2, točka 1, te direktive, razkrijejo le organu ali sodišču, ki obravnava zadevo, da lahko ta organ ali sodišče samostojno preveri, ali je treba šteti, da dejansko gre za tako poslovno skrivnost in ali se te informacije, ki jih je v smislu člena 15(1) SUVP predložil upravljavec, ujemajo zadevnim dejanskim stanjem.

32

Nazadnje, preveriti bi bilo treba, ali se lahko za določbo, kot je člen 4(6) DSG, ki načeloma izključuje pravico do dostopa posameznika, na katerega se nanašajo osebni podatki, iz člena 15 SUVP, kadar bi se s tem dostopom ogrozila poslovna skrivnost upravljavca oziroma tretjih oseb, šteje, da je v skladu s členom 15(1) v povezavi s členom 22(3) SUVP.

33

V teh okoliščinah je Verwaltungsgericht Wien (upravno sodišče na Dunaju) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ta vprašanja:

34

Predsednik Sodišča je s sklepom z dne 8. decembra 2022 prekinil postopek v obravnavani zadevi do izdaje sodbe, s katero bo končan postopek v zadevi C‑634/21, SCHUFA Holding in drugi (Scoring).

35

V skladu s sklepom predsednika Sodišča z dne 13. decembra 2023 je sodno tajništvo Sodišča predložitvenemu sodišču posredovalo sodbo z dne 7. decembra 2023, SCHUFA Holding in drugi (Scoring) (C‑634/21, EU:C:2023:957), in ga pozvalo, naj ob upoštevanju te sodbe sporoči, če namerava vztrajati pri svojem predlogu za sprejetje predhodne odločbe.

36

V dopisu, ki je na Sodišče prispel 29. januarja 2024, je predložitveno sodišče navedlo, da vztraja pri svojem predlogu za sprejetje predhodne odločbe, saj na podlagi sodbe z dne 7. decembra 2023, SCHUFA Holding in drugi (Scoring) (C‑634/21, EU:C:2023:957), ne more odgovoriti na vprašanja, ki jih je postavilo v obravnavani zadevi.

37

Predsednik sodišča je s sklepom z dne 14. februarja 2024 torej odredil nadaljevanje postopka v tej zadevi.

38

Predložitveno sodišče s prvim, drugim in tretjim vprašanjem, točka (a), ki jih je treba obravnavati skupaj, v bistvu sprašuje, ali je treba člen 15(1)(h) SUVP razlagati tako, da lahko posameznik, na katerega se nanašajo osebni podatki, v primeru avtomatiziranega sprejetja odločitve, vključno z oblikovanjem profilov, v smislu člena 22(1) te uredbe od upravljavca iz naslova „smiselnih informacij o razlogih zanj“ zahteva izčrpno pojasnilo postopka in načel, ki so se dejansko uporabili za avtomatizirano uporabo osebnih podatkov, ki se nanašajo na tega posameznika, za pridobitev določenega rezultata, kot je ocena plačilne sposobnosti.

39

V skladu z ustaljeno sodno prakso Sodišča je treba pri razlagi določbe prava Unije upoštevati ne le izraze iz te določbe, ampak tudi njen kontekst in cilje, ki jim sledi ureditev, katere del je (sodba z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 19 in navedena sodna praksa).

40

Najprej, glede besedila člena 15(1)(h) SUVP je treba ugotoviti, prvič, da so poimenovanja pojma „smiselne informacije“ v smislu te določbe v različnih jezikovnih različicah te določbe različna, nekatere po zgledu francoske jezikovne različice dajejo prednost funkcionalnosti („nuttige“ v nizozemščini, „úteis“ v portugalščini) ali upoštevnosti („pertinente“ v romunščini) informacij, ki jih je treba predložiti, druge pa vztrajajo zlasti na njihovi pomembnosti („significativa“ v španščini in „istotne“ v poljščini). Nazadnje, izraz, ki je uporabljen tako v nemški kot v angleški jezikovni različici navedene določbe („aussagekräftig“ v nemščini in „meaningful“ v angleščini), se lahko razume tako, kot da se nanaša na dobro razumljivost navedenih informacij kot tudi na neko mero kakovosti teh informacij.

41

Različna poimenovanja, ki so uporabljena v različnih jezikovnih različicah, pa je treba razumeti v smislu dopolnjevanja pomenov iz prejšnje točke te sodbe, zato jih je treba – kot je v bistvu navedel generalni pravobranilec v točki 65 sklepnih predlogov – upoštevati pri razlagi pojma „smiselne informacije o razlogih zanj“ v smislu člena 15(1)(h) SUVP.

42

Drugič, sklic v tej določbi na „razlog[e] zanj“, to je za avtomatizirano sprejemanje odločitev, ki so predmet navedenih „smiselnih informacij“, lahko glede na njegovo splošno obliko pokriva široko paleto „razlogov“ za uporabo osebnih in drugih podatkov z namenom avtomatizirane pridobitve določenega rezultata. Ta razlaga je podkrepljena z nekaterimi jezikovnimi različicami navedene določbe, v katerih so uporabljeni dopolnjujoči izrazi, ki se nanašajo na različne vidike skupnega razumevanja pojma „razlogi“. Tako je na primer v češki jezikovni različici uporabljen izraz „postupu“, ki se lahko prevede kot „postopek“, v poljski pa „zasady“, ki se lahko prevede kot „načela“.

43

Zato je treba šteti, da se besedilo člena 15(1)(h) SUVP nanaša na vse upoštevne informacije v zvezi s postopkom in načeli za avtomatizirano uporabo osebnih podatkov za pridobitev določenega rezultata.

44

Dalje, glede konteksta, v katerega je umeščen pojem „smiselne informacije o razlogih zanj“ iz člena 15(1)(h) SUVP, je treba na prvem mestu poudariti, da so te informacije le del informacij, na katere se nanaša pravica do dostopa iz tega člena, saj te zajemajo tudi informacije o pomembnosti in predvidenih posledicah zadevne obdelave, ki se nanaša na posameznika, na katerega se nanašajo osebni podatki.

45

Čeprav zadnjenavedene informacije, ob katerih morajo biti v skladu s Smernicami o avtomatiziranem sprejemanju posameznih odločitev in oblikovanju profilov za namene Uredbe (EU) 2016/679, ki jih je 3. oktobra 2017 sprejela delovna skupina za varstvo podatkov iz člena 29, v različici, kot je bila revidirana in sprejeta 6. februarja 2018 – da bi bile smiselne in razumljive – navedeni „dejanski in oprijemljivi primeri“, niso predmet vprašanj predložitvenega sodišča, jih je treba vseeno upoštevati kot del konteksta, v katerega je umeščen pojem „smiselne informacije o razlogih zanj“.

46

Na drugem mestu, Sodišče je – ob upoštevanju, da je pojem „smiselne informacije o razlogih zanj“ uporabljen tudi v členu 13(2)(f) in členu 14(2)(g) SUVP – že razsodilo, da pravica do dostopa do takih informacij iz člena 15(1)(h) navedene uredbe v primeru avtomatiziranega sprejetja odločitve v smislu člena 22(1) te uredbe in obveznosti zagotovitve dodatnih informacij, ki veljajo za upravljavca v skladu z navedenima členoma 13(2)(f) in 14(2)(g) SUVP, tvorijo celoto (glej v tem smislu sodbo z dne 7. decembra 2023, SCHUFA Holding in drugi (Scoring), C‑634/21, EU:C:2023:957, točka 56).

47

Na tretjem mestu, v okviru sistematične razlage pravice do dostopa v primeru avtomatiziranega sprejetja odločitve je treba upoštevati, kot je v bistvu generalni pravobranilec navedel v točkah od 58 do 60 sklepnih predlogov, sodno prakso Sodišča v zvezi z zahtevami, ki jih mora spoštovati upravljavec na podlagi člena 15(3) SUVP.

48

Tako je treba upoštevati zlasti dejstvo, da zahteva po preglednosti posredovanih informacij, ki je določena v členu 12(1) SUVP, velja za vse podatke in informacije iz navedenega člena 15, tudi za tiste, ki so povezani z avtomatiziranim sprejemanjem odločitev.

49

Da se zagotovi, da posameznik, na katerega se nanašajo osebni podatki, lahko povsem razume informacije, ki mu jih posreduje upravljavec, navedeni člen 12(1) tega upravljavca zavezuje, da sprejme ustrezne ukrepe, da lahko med drugim posamezniku, na katerega se nanašajo osebni podatki, te podatke in informacije zagotovi v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku (glej v tem smislu sodbo z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 38).

50

Preizkus konteksta, v katerega je umeščen člen 15(1)(h) SUVP, torej podpira razlago, ki izhaja iz analize besedila te določbe, v skladu s katero „smiselne informacije o razlogih“ za avtomatizirano sprejetje odločitve v smislu te določbe zajemajo vse upoštevne informacije v zvezi s postopkom in načeli uporabe osebnih podatkov z namenom, da se iz njih avtomatizirano pridobi določen rezultat, obveznost preglednosti pa poleg tega zahteva, da so te informacije zagotovljene v jedrnati, pregledni, razumljivi in lahko dostopni obliki.

51

Nazadnje, glede ciljev SUVP je treba spomniti, da je cilj te uredbe zlasti zagotoviti visoko raven varstva temeljnih pravic in svoboščin posameznikov, zlasti pravice do varstva osebnih podatkov, ki je določena v členu 16 PDEU, kot temeljna pravica pa zagotovljena v členu 8 Listine, ki dopolnjuje pravico do zasebnega življenja iz člena 7 te listine (glej v tem smislu sodbo z dne 4. oktobra 2024, Schrems (Sporočanje podatkov širši javnosti), C‑446/21, EU:C:2024:834, točka 45 in navedena sodna praksa).

52

Tako je cilj SUVP, kot je med drugim pojasnjeno v njeni uvodni izjavi 11, okrepiti in podrobneje opredeliti pravice posameznikov, na katere se nanašajo osebni podatki (sodba z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 33 in navedena sodna praksa).

53

Natančneje, glede pravice do dostopa iz člena 15 SUVP iz sodne prakse Sodišča izhaja, da mora ta pravica posamezniku, na katerega se nanašajo osebni podatki, omogočiti, da se prepriča, da so osebni podatki, ki se nanašajo nanj, točni in se obdelujejo zakonito (sodbi z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 34, in z dne 26. oktobra 2023, FT (Kopije zdravstvene kartoteke), C‑307/22, EU:C:2023:811, točka 73).

54

Ta pravica dostopa je nujna, da bi lahko posameznik, na katerega se nanašajo osebni podatki, po potrebi uveljavljal pravico do popravka, pravico do izbrisa („pravica do pozabe“) in pravico do omejitve obdelave, ki jih ima na podlagi členov 16, 17 in 18 SUVP, pravico do ugovora obdelave osebnih podatkov, določeno v členu 21 SUVP, ter pravico do pravnega sredstva in pravico do odškodnine iz člena 79 oziroma člena 82 SUVP (glej v tem smislu sodbo z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 35).

55

Natančneje, v posebnih okoliščinah sprejetja odločitve, ki temelji le na avtomatizirani obdelavi podatkov, je glavni cilj pravice posameznika, na katerega se nanašajo osebni podatki, da pridobi informacije iz člena 15(1)(h) SUVP, ta, da se mu omogoči učinkovito uveljavljanje pravic, priznanih s členom 22(3) te uredbe, in sicer pravic do izražanja lastnega stališča o tej odločitvi in do izpodbijanja te odločitve.

56

Če osebe, na katere se nanaša avtomatizirana odločitev, kar vključuje tudi oblikovanje profilov, ne bi mogle razumeti razlogov, na podlagi katerih je bila sprejeta ta odločitev, preden so lahko podale svoje stališče ali jo izpodbijale, s temi pravicami namreč ne bi bil popolnoma izpolnjen njihov cilj, ki je zaščititi posameznike pred posebnimi nevarnostmi za njihove pravice in svoboščine, ki jih pomeni avtomatizirana obdelava osebnih podatkov (glej v tem smislu sodbo z dne 7. decembra 2023, SCHUFA Holding in drugi (Scoring), C‑634/21, EU:C:2023:957, točka 57).

57

V zvezi s tem je iz uvodne izjave 71 SUVP razvidno, da kadar je bila zoper posameznika, na katerega se nanašajo osebni podatki, sprejeta odločitev, ki temelji zgolj na podlagi avtomatizirane obdelave in ki znatno vpliva nanj, mora imeti ta posameznik pravico dobiti pojasnilo o tej odločitvi. Kot je generalni pravobranilec navedel v točki 67 sklepnih predlogov, je treba šteti, da člen 15(1)(h) SUVP posamezniku, na katerega se nanašajo osebni podatki, zagotavlja dejansko pravico do pojasnila o delovanju mehanizma, na katerem temelji avtomatizirano sprejemanje odločitev v zvezi z njim, in o rezultatu te odločitve.

58

Iz preučitve ciljev SUVP in zlasti iz preučitve ciljev člena 15(1)(h) te uredbe izhaja, da je treba „smiselne informacije o razlogih“ za avtomatizirano sprejetje odločitve v smislu te določbe razumeti kot pravico do pojasnila postopka in načel, ki so bili konkretno uporabljeni za avtomatizirano obdelavo osebnih podatkov posameznika, na katerega se nanašajo osebni podatki, za pridobitev določenega rezultata, kot je profil plačilne sposobnosti. Da se posamezniku, na katerega se nanašajo osebni podatki, omogoči učinkovito uveljavljanje pravic, ki mu jih zagotavlja SUVP in zlasti člen 22(3) te uredbe, mora biti to pojasnilo podano tako, da se mu posredujejo upoštevne informacije v jedrnati, pregledni, razumljivi in lahko dostopni obliki.

59

Zgolj posredovanje zapletene matematične formule, kot je algoritem, ali podroben opis vseh faz avtomatiziranega sprejetja odločitve – če se z nobenim od teh načinov ne zagotovi dovolj jedrnata in razumljiva razlaga – ne izpolnjuje teh zahtev.

60

Prvič, kot je razvidno s strani 26 Smernic o avtomatiziranem sprejemanju posameznih odločitev in oblikovanju profilov za namene Uredbe (EU) 2016/679, navedenih v točki 45 te sodbe, bi moral upravljavec poiskati preproste načine za seznanitev posameznika, na katerega se nanašajo osebni podatki, z utemeljitvijo sprejete odločitve ali merili, uporabljenimi pri njenem sprejemanju. Drugič, SUVP od upravljavca zahteva, da zagotovi smiselne informacije o razlogih, „ne pa nujno zapletene razlage uporabljenih algoritmov ali razkritja celotnega algoritma“.

61

V „smiselnih informacijah o razlogih“ za avtomatizirano sprejetje odločitve v smislu člena 15(1)(h) SUVP morajo biti torej opisani konkretno uporabljeni postopek in načela, in sicer tako, da lahko posameznik, na katerega se nanašajo osebni podatki, razume, kateri osebni podatki so bili uporabljeni pri zadevnemu avtomatiziranemu sprejetju odločitve in na kakšen način, pri čemer zapletenost postopkov, ki jih je treba izvesti v okviru avtomatiziranega sprejemanja odločitev, upravljavca ne razbremeni obveznosti pojasnila.

62

Natančneje glede oblikovanja profilov, kakršno je to iz postopka v glavni stvari, bi predložitveno sodišče lahko, med drugim, kot dovolj pregledno in razumljivo štelo dejstvo, da je posameznik, na katerega se nanašajo osebni podatki, obveščen o obsegu, v katerem bi sprememba na ravni upoštevanih osebnih podatkov pripeljala do drugačnega rezultata.

63

Pojasniti je treba še, da – glede vprašanja, ali morajo biti predložene informacije take, da lahko posameznik, na katerega se nanašajo osebni podatki, z njimi preveri točnost osebnih podatkov, na katerih temelji avtomatizirano sprejetje odločitve, v zvezi z njim – pravica do dostopa do navedenih podatkov ne spada pod točko (h) odstavka 1 člena 15 SUVP, ampak v uvodni stavek tega odstavka, ki posamezniku, na katerega se nanašajo osebni podatki, zagotavlja možnost, da preveri točnost osebnih podatkov v zvezi z njim, kot to izhaja iz sodne prakse, navedene v točki 53 te sodbe.

64

Nazadnje, v zvezi s trditvijo predložitvenega sodišča, da so informacije, ki jih je družba D & B na podlagi člena 15(1)(h) SUVP posredovala osebi CK, v nasprotju z dejstvi, saj naj bi „dejansko“ oblikovanje profila pripeljalo do tega, da se je štela za plačilno nesposobno, iz navedenih informacij pa naj bi bilo razvidno nasprotno, je treba ugotoviti, da če je po mnenju predložitvenega sodišča do tako ugotovljene neskladnosti prišlo, ker družba D & B osebi CK ni posredovala profila, ki je bil v zvezi z njo oblikovan za družbo mobilne telefonije, ki je na tej podlagi zavrnila sklenitev ali podaljšanje pogodbe z osebo CK, bi se morala ta neskladnost odpraviti s pravico do dostopa do tako oblikovanega profila plačilne sposobnosti. V zvezi s tem iz sodne prakse Sodišča izhaja, da osebni podatki, ki jih je ustvaril upravljavec, spadajo na področje uporabe člena 14 SUVP (glej v tem smislu sodbo z dne 28. novembra 2024, Másdi, C‑169/23, EU:C:2024:988, točka 48).

65

Nasprotno, razlaga razlik med rezultatom takega „dejanskega“ oblikovanja profila – če je ta dokazan – in rezultatom, ki ga je družba D & B posredovala osebi CK in ki je bil po mnenju te družbe pridobljen z „enakovrednim združevanjem“ podatkov o osebi CK, naj bi spadala pod „smiselne informacije o razlogih“ za opravljeno oblikovanje profila. V skladu z ugotovitvami iz točke 58 te sodbe naj bi družba D & B torej morala v jedrnati, pregledni, razumljivi in lahko dostopni obliki pojasniti postopek in načela, na podlagi katerih je bil pridobljen rezultat „dejanskega“ oblikovanja profila.

66

Iz vsega navedenega izhaja, da je treba na prvo, drugo in tretje vprašanje, točka (a), odgovoriti tako, da je treba člen 15(1)(h) SUVP razlagati tako, da v primeru avtomatiziranega sprejetja odločitve, vključno z oblikovanjem profilov, v smislu člena 22(1) te uredbe posameznik, na katerega se nanašajo osebni podatki, od upravljavca iz naslova „smiselnih informacij o razlogih zanj“ lahko zahteva, da mu z upoštevnimi informacijami v jedrnati, pregledni, razumljivi in lahko dostopni obliki pojasni postopek in načela, ki so bili konkretno uporabljeni za avtomatizirano obdelavo osebnih podatkov o tem posamezniku za pridobitev določenega rezultata, kot je profil plačilne sposobnosti.

67

Predložitveno sodišče s tretjim vprašanjem, točki (b) in (c), četrtim vprašanjem, točki (a) in (b), petim ter šestim vprašanjem, ki jih je treba obravnavati skupaj, v bistvu sprašuje, ali je treba člen 15(1)(h) SUVP razlagati tako, da mora upravljavec – kadar meni, da informacije, ki jih je treba zagotoviti posamezniku, na katerega se nanašajo osebni podatki, v skladu s to določbo vsebujejo osebne podatke tretjih oseb, varovane s to uredbo ali s poslovno skrivnostjo v smislu člena 2, točka 1, Direktive 2016/943 – te domnevno varovane informacije posredovati pristojnemu nadzornemu organu ali sodišču, ki morata pretehtati med zadevnimi pravicami in interesi, da določita obseg pravice posameznika, na katerega se nanašajo osebni podatki, do dostopa iz člena 15 SUVP.

68

V zvezi s tem je treba spomniti, da na podlagi uvodne izjave 4 SUVP pravica do varstva osebnih podatkov ni absolutna pravica in jo je treba v skladu z načelom sorazmernosti uravnotežiti z drugimi temeljnimi pravicami. Tako SUVP spoštuje vse temeljne pravice in upošteva svoboščine in načela, priznane z Listino, kakor so zajeti v Pogodbah (sodba z dne 26. oktobra 2023, FT (Kopije zdravstvene kartoteke), C‑307/22, EU:C:2023:811, točka 59 in navedena sodna praksa).

69

Poleg tega je v uvodni izjavi 63 te uredbe navedeno, da pravica posameznika, na katerega se nanašajo osebni podatki, do dostopa do osebnih podatkov, ki so bili zbrani v zvezi z njim, ne bi smela negativno vplivati na pravice ali svoboščine drugih, vključno s poslovnimi skrivnostmi ali intelektualno lastnino, ter predvsem na avtorske pravice, ki ščitijo programsko opremo.

70

To pa ne bi smelo povzročiti, da se posamezniku, na katerega se nanašajo osebni podatki, zavrne dostop do vseh informacij. Tako člen 23(1)(i) te uredbe določa, da je omejitev obsega obveznosti in pravic, določenih med drugim v členu 15 navedene uredbe, možna le, če taka omejitev spoštuje bistvo temeljnih pravic in svoboščin ter je potreben in sorazmeren ukrep v demokratični družbi za zagotavljanje varstva pravic in svoboščin drugih.

71

Sodišče je v zvezi s sorodno pravico do pridobitve kopije, ki je določena v členu 15(4) SUVP, že ugotovilo, da njena uveljavitev ne bi smela negativno vplivati na pravice ali svoboščine drugih, vključno s poslovnimi skrivnostmi ali intelektualno lastnino, ter predvsem na avtorske pravice, ki ščitijo programsko opremo (glej v tem smislu sodbo z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 43).

72

V teh okoliščinah je Sodišče ugotovilo, da če pride do navzkrižja med uresničevanjem pravice do polnega in celovitega dostopa do osebnih podatkov ter uresničevanjem pravic in svoboščin drugih, je treba zadevne pravice in svoboščine uravnotežiti. Pri tem je treba, kadar je to mogoče, izbrati načine posredovanja osebnih podatkov, ki ne vplivajo negativno na pravice ali svoboščine drugih, ob upoštevanju dejstva, da to ne bi smelo „povzročiti, da se posamezniku, na katerega se nanašajo osebni podatki, zavrne dostop do vseh informacij“, kot izhaja iz besedila uvodne izjave 63 SUVP (sodba z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 44).

73

Glede vprašanja, kako se lahko pravica do dostopa iz člena 15(1)(h) SUVP izvaja tako, da se spoštujejo pravice in svoboščine drugih, je treba spomniti, da lahko nacionalno sodišče v skladu z ustaljeno sodno prakso presodi, da mu je treba posredovati osebne podatke strank ali tretjih oseb, da bi lahko ob popolnem poznavanju dejstev in ob spoštovanju načela sorazmernosti pretehtalo zadevne interese. Na podlagi te presoje lahko, odvisno od primera, dovoli, da se nasprotni stranki v celoti ali delno razkrijejo osebni podatki, ki so ji bili tako posredovani, če ugotovi, da tako razkritje ne presega tega, kar je nujno za zagotovitev dejanskega uresničevanja pravic, ki jih imajo posamezniki na podlagi člena 47 Listine (sodba z dne 2. marca 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, točka 58).

74

Kot je generalni pravobranilec navedel v točki 94 sklepnih predlogov, se ta sodna praksa lahko v celoti uporablja v primeru, v katerem se lahko z informacijami, ki jih je treba posredovati posamezniku, na katerega se nanašajo osebni podatki, na podlagi člena 15(1)(h) SUVP, ogrozijo pravice in svoboščine drugih, zlasti ker vsebujejo osebne podatke tretjih oseb, zaščitene s SUVP, ali poslovno skrivnost v smislu člena 2, točka 1, Direktive (EU) 2016/943. Tudi v takem primeru je treba navedene informacije posredovati pristojnemu nadzornemu organu ali sodišču, ki morata pretehtati zadevne pravice in interese, da določita obseg pravice posameznika, na katerega se nanašajo osebni podatki, do dostopa do osebnih podatkov v zvezi z njim.

75

Ob upoštevanju nujnosti take določitve v vsakem posameznem primeru člen 15(1)(h) SUVP med drugim nasprotuje uporabi določbe, kot je člen 4(6) DSG, ki načeloma izključuje pravico dostopa posameznika, na katerega se nanašajo osebni podatki, iz člena 15 SUVP, kadar bi bila z zagotovitvijo tega dostopa ogrožena poslovna skrivnost upravljavca oziroma tretjih oseb. V zvezi s tem je treba spomniti, da država članica ne more dokončno določiti izida tehtanja zadevnih pravic in interesov v posameznih primerih, ki se zahteva s pravom Unije (glej v tem smislu sodbo z dne 7. decembra 2023, SCHUFA Holding in drugi (Scoring), C‑634/21, EU:C:2023:957, točka 70 in navedena sodna praksa).

76

Na podlagi navedenega je treba na tretje vprašanje, točki (b) in (c), četrto vprašanje, točki (a) in (b), peto ter šesto vprašanje odgovoriti, da je treba člen 15(1)(h) SUVP razlagati tako, da mora upravljavec – kadar meni, da informacije, ki jih je treba zagotoviti posamezniku, na katerega se nanašajo osebni podatki, v skladu s to določbo vsebujejo osebne podatke tretjih oseb, varovane s to uredbo ali s poslovno skrivnostjo v smislu člena 2, točka 1, Direktive 2016/943 – te domnevno varovane informacije posredovati pristojnemu nadzornemu organu ali sodišču, ki morata pretehtati med zadevnimi pravicami in interesi, da določita obseg pravice posameznika, na katerega se nanašajo osebni podatki, do dostopa iz člena 15 SUVP.

77

Ker je ta postopek za stranki v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.

Iz teh razlogov je Sodišče (prvi senat) razsodilo: