TSUE interpretuje prawo dostępu do danych oraz zadanie organu nadzorczego lub sądu

Parę dni temu Trybunał Sprawiedliwości Unii Europejskiej wydał długo wyczekiwany wyrok dotyczący interpretacji prawa dostępu do danych osobowych.

O tej sprawie opowiadałem w 30 odcinku Podcastu Judykatura.pl – można go cały czas odsłuchać tutaj:

TSUE: Czy koniecznym jest udostępnianie algorytmów profilujących

Krótko przybliżę stan faktyczny.

Operator telefonii komórkowej odmówił CK zawarcia lub przedłużenia umowy o świadczenie usług telefonii komórkowej, która miała się wiązać z miesięczną zapłatą kwoty 10 EUR, ze względu na to, że CK nie posiadała, zgodnie z dokonaną przez spółkę D & B w sposób zautomatyzowany oceną kredytową, wystarczającej zdolności kredytowej.

CK zwróciła się do austriackiego organu ochrony danych, który nakazał spółce D & B przekazanie CK istotnych informacji o zasadach zautomatyzowanego podejmowania decyzji w oparciu o dane osobowe CK.

Spółka D & B wniosła skargę na decyzję tego organu do Bundesverwaltungsgericht (federalnego sądu administracyjnego, Austria), podnosząc zasadniczo, że ze względu na chronioną tajemnicę przedsiębiorstwa nie musi przekazywać CK informacji uzupełniających informacje, które zostały jej już udzielone.

Orzeczeniem z dnia 23 października 2019 r. (zwanym dalej „orzeczeniem z dnia 23 października 2019 r.”) sąd ten stwierdził, że spółka D & B, nie udzielając CK istotnych informacji o zasadach zautomatyzowanego podejmowania decyzji w oparciu o dane osobowe dotyczące CK lub przynajmniej nie uzasadniając w wystarczający sposób niemożności udzielenia tych informacji, naruszyła art. 15 ust. 1 lit. h) RODO.

Zdaniem sądu odsyłającego jedynie przekazanie minimalnych informacji wskazanych przez wspomnianego biegłego umożliwiłoby sprawdzenie spójności i prawidłowości informacji udzielonych przez administratora na podstawie art. 15 ust. 1 lit. h) RODO.

TSUE wskazał, że:

znaczenia pojęcia „istotnych informacji” w rozumieniu tego przepisu w jego różnych wersjach językowych różnią się od siebie, ponieważ niektóre z nich przyznają pierwszeństwo, podobnie jak wersja francuska, funkcjonalności („nuttige” w języku niderlandzkim, „úteis” w języku portugalskim) lub znaczeniu („pertinente” w języku rumuńskim) informacji, których należy dostarczyć, podczas gdy inne podkreślają wagę tych informacji („significativa” w języku hiszpańskim i „istotne” w języku polskim). Wreszcie zarówno w niemieckiej, jak i w angielskiej wersji językowej tego przepisu użyte wyrażenie (odpowiednio, „aussagekräftig” i „meaningful”) można rozumieć jako odnoszące się zarówno do zrozumiałości tych informacji, jak i do pewnej ich jakości;

pojęcie „istotnych informacji o zasadach [podejmowania decyzji]” znajduje się również w art. 13 ust. 2 lit. f) i art. 14 ust. 2 lit. g) RODO, Trybunał stwierdził już, że w przypadku zautomatyzowanego podejmowania decyzji w rozumieniu art. 22 ust. 1 tego rozporządzenia prawo dostępu do takich informacji ustanowione w jego art. 15 ust. 1 lit. h) wraz z dodatkowymi obowiązkami informacyjnymi, które ciążą na administratorze na podstawie tego art. 13 ust. 2 lit. f) i art. 14 ust. 2 lit. g) RODO stanowi całość [zob. podobnie wyrok z dnia 7 grudnia 2023 r., SCHUFA Holding i in. (Scoring), C‑634/21, EU:C:2023:957, pkt 56];

przewidziany w art. 12 ust. 1 RODO wymóg przejrzystości przekazywanych informacji ma zastosowanie do wszystkich danych i informacji, o których mowa we wspomnianym art. 15, w tym do danych i informacji związanych ze zautomatyzowanym podejmowaniem decyzji.

TSUE orzekł, że:

w przypadku zautomatyzowanego podejmowania decyzji, w tym profilowania, w rozumieniu art. 22 ust. 1 tego rozporządzenia, osoba, której dane dotyczą, może żądać od administratora, tytułem „istotnych informacji o zasadach […] podejmowania [tych decyzji]”, aby ten wyjaśnił jej, w drodze istotnych informacji oraz w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, procedurę i zasady konkretnie zastosowane do zautomatyzowanego wykorzystania danych osobowych dotyczących tej osoby w celu uzyskania określonego wyniku, takiego jak profil zdolności kredytowej;

w przypadku gdy administrator uważa, iż informacje, które należy zgodnie z tym przepisem przekazać osobie, której dane dotyczą, zawierają dane osób trzecich chronione tym rozporządzeniem lub tajemnice przedsiębiorstwa w rozumieniu art. 2 pkt 1 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/943 z dnia 8 czerwca 2016 r. w sprawie ochrony niejawnego know-how i niejawnych informacji handlowych (tajemnic przedsiębiorstwa) przed ich bezprawnym pozyskiwaniem, wykorzystywaniem i ujawnianiem, administrator ten jest zobowiązany do przekazania tych informacji, które miałyby być chronione, właściwemu organowi nadzorczemu lub właściwemu sądowi, na których spoczywa obowiązek wyważenia rozpatrywanych praw i interesów w celu ustalenia zakresu prawa dostępu przysługującego osobie, której dane dotyczą, przewidzianego w art. 15 tego rozporządzenia