Hotărârea Curții (Camera întâi) din 27 februarie 2025.#CK împotriva Magistrat der Stadt Wien.#Trimitere preliminară – Protecția datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolul 15 alineatul (1) litera (h) – Proces decizional automatizat incluzând crearea de profiluri – «Scoring» – Aprecierea bonității unei persoane fizice – Accesul la informații pertinente privind logica utilizată pentru crearea de profiluri – Verificarea exactității informațiilor furnizate – Directiva (UE) 2016/943 – Articolul 2 punctul 1 – Secret comercial – Date cu caracter personal ale unor terți.#Cauza C-203/22.

Cauza C‑203/22

împotriva

Magistrat der Stadt Wien

(cerere de decizie preliminară formulată de Verwaltungsgericht Wien)

Hotărârea Curții (Camera întâi) din 27 februarie 2025

„Trimitere preliminară – Protecția datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolul 15 alineatul (1) litera (h) – Proces decizional automatizat incluzând crearea de profiluri – «Scoring» – Aprecierea bonității unei persoane fizice – Accesul la informații pertinente privind logica utilizată pentru crearea de profiluri – Verificarea exactității informațiilor furnizate – Directiva (UE) 2016/943 – Articolul 2 punctul 1 – Secret comercial – Date cu caracter personal ale unor terți”

Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Dreptul de acces al persoanei vizate la datele sale care fac obiectul prelucrării – Proces decizional automatizat incluzând crearea de profiluri – Drept de acces la informațiile relevante privind logica care stă la baza creării de profiluri – Întindere

[Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 12 alin. (1), art. 15 alin. (1) lit. (h) și alin. (3) și art. 22 alin. (1) și (3)]

(a se vedea punctele 40-43, 47, 48, 50, 58, 59, 61, 62 și 66 și dispozitiv 1)

Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Drept de acces al persoanei vizate la datele sale care fac obiectul prelucrării – Proces decizional automatizat incluzând crearea de profiluri – Drept de acces la informații pertinente privind logica utilizată pentru crearea de profiluri – Respectarea drepturilor și a libertăților altora – Dreptul la protecția datelor cu caracter personal ale unor terți și a secretului comercial – Ponderare a drepturilor și a intereselor în cauză de către autoritatea de supraveghere sau instanța judecătorească competente

[Regulamentul 2016/679 al Parlamentului European și al Consiliului, considerentul (63) și art. 15 alin. (1) lit. (h); Directiva 2016/943 a Parlamentului European și a Consiliului, art. 2 pct. 1]

(a se vedea punctele 72-76 și dispozitiv 2)

Rezumat

Sesizată cu titlu preliminar de Verwaltungsgericht Wien (Tribunalul Administrativ din Viena, Austria), Curtea dezvoltă jurisprudența sa recentă privind drepturile persoanelor vizate de crearea de profiluri în vederea aprecierii bonității lor ( 1 ). Pe de o parte, ea precizează limitele dreptului de acces al persoanei vizate la informațiile referitoare la prelucrarea datelor sale. Pe de altă parte, ea se pronunță cu privire la punerea în balanță a acestui drept cu dreptul la protecția datelor terților sau a secretelor comerciale.

Lui CK i s‑a refuzat de un operator de telefonie mobilă încheierea sau prelungirea unui contract de telefonie mobilă. Acest refuz se întemeia pe o evaluare automatizată a creditului său, pe care o efectuase D & B, o întreprindere specializată în realizarea unor astfel de evaluări.

Prin decizia sa, autoritatea austriacă de protecție a datelor a obligat D & B să îi comunice lui CK informații pertinente cu privire la logica utilizată în procesul decizional automatizat bazat pe datele cu caracter personal ale acesteia din urmă. Acțiunea formulată de D & B împotriva acestei decizii a fost respinsă prin decizia din 23 octombrie 2019 a Bundesverwaltungsgericht (Tribunalul Administrativ Federal, Austria). Cu toate acestea, Magistrat der Stadt Wien (Consiliul Municipal al Orașului Viena, Austria) a respins cererea de executare silită a respectivei hotărâri judecătorești formulată de CK.

Sesizată de CK cu o acțiune împotriva deciziei acestui Consiliu Municipal, instanța de trimitere solicită Curții să clarifice întinderea informațiilor care trebuie să fie comunicate persoanei vizate pentru ca dreptul său de acces prevăzut de Regulamentul general privind protecția datelor ( 2 ) să fie pe deplin garantat. Ea îi solicită de asemenea să precizeze dacă și în ce măsură excepția întemeiată pe existența unui secret comercial este de natură să restrângă acest drept.

Aprecierea Curții

În primul rând, clarificând dreptul persoanei afectate de o decizie automatizată, inclusiv crearea de profiluri de a avea acces la „informațiile pertinente privind logica utilizată” în sensul articolului 15 alineatul (1) litera (h) din RGPD, Curtea consideră, pe baza diferitelor versiuni lingvistice ale acestei dispoziții, că modul său de redactare vizează orice informație pertinentă referitoare la procedura și la principiile de prelucrare, cu mijloace automatizate, a datelor cu caracter personal în scopul obținerii unui anumit rezultat.

Curtea arată în continuare că interpretarea contextuală a aceleiași dispoziții din RGPD confirmă interpretarea sa literală și că, pe de altă parte, obligația de transparență care se aplică tuturor datelor și informațiilor, inclusiv celor legate de procesul decizional automatizat ( 3 ), impune ca aceste informații să fie furnizate într‑un mod concis, transparent, inteligibil și ușor accesibil.

În plus, Curtea subliniază că din examinarea finalităților RGPD și în special a celor ale articolului 15 alineatul (1) litera (h) din acesta reiese că dreptul de a obține „informații pertinente privind logica utilizată” într‑un proces decizional automatizat în sensul acestei dispoziții trebuie să fie înțeles ca un drept la explicarea procedurii și a principiilor aplicate în mod concret pentru a prelucra, cu mijloace automatizate, datele cu caracter personal ale persoanei vizate în scopul obținerii unui anumit rezultat, precum un profil de bonitate. Pentru a permite persoanei vizate să își exercite în mod eficient drepturile care îi sunt recunoscute de RGPD ( 4 ), explicația respectivă trebuie să fie furnizată cu ajutorul unor informații pertinente, în mod concis, transparent, inteligibil și ușor accesibil. Nu poate îndeplini aceste cerințe nici simpla comunicare a unei formule matematice complexe, precum un algoritm, nici descrierea detaliată a tuturor etapelor unui proces decizional automatizat, în măsura în care niciuna dintre aceste modalități nu ar constitui o explicație suficient de concisă și de comprehensibilă.

Curtea concluzionează că „informațiile pertinente privind logica utilizată” într‑un proces decizional automatizat în sensul articolului 15 alineatul (1) litera (h) din RGPD trebuie să descrie procedura și principiile aplicate în mod concret, astfel încât persoana vizată să poată înțelege care dintre datele sale cu caracter personal au fost utilizate și în ce mod în procesul decizional automatizat, fără ca complexitatea operațiunilor care trebuie realizate în cadrul unui proces decizional automatizat să poată elibera operatorul de obligația sa de a furniza explicații.

Ea precizează, în ceea ce privește în mod specific o creare de profiluri precum cea din speță, că instanța de trimitere ar putea printre altele să considere ca fiind suficient de transparentă și de inteligibilă informarea persoanei vizate cu privire la măsura în care o variație la nivelul datelor cu caracter personal luate în considerare ar fi condus la un rezultat diferit.

În al doilea rând, în ceea ce privește punerea în balanță a dreptului de acces garantat de RGPD și a dreptului la protecția datelor terților sau a secretelor comerciale ( 5 ), Curtea începe prin a aminti jurisprudența sa potrivit căreia o instanță națională poate aprecia că trebuie să îi fie comunicate datele cu caracter personal ale părților sau ale terților pentru a putea să pondereze, în deplină cunoștință de cauză și cu respectarea principiului proporționalității, interesele implicate. Această apreciere poate, dacă este cazul, să o determine să autorizeze divulgarea completă sau parțială către partea adversă a datelor cu caracter personal care i‑au fost astfel comunicate, în cazul în care consideră că o asemenea divulgare nu depășește ceea ce este necesar pentru a garanta beneficiul efectiv al drepturilor conferite justițiabililor de articolul 47 din Carta drepturilor fundamentale a Uniunii Europene ( 6 ).

În continuare, ea arată că această jurisprudență poate fi transpusă pe deplin situației în care informațiile care trebuie furnizate persoanei vizate în temeiul dreptului de acces garantat de articolul 15 alineatul (1) litera (h) din RGPD pot aduce atingere drepturilor și libertăților altora, în special în măsura în care conțin date cu caracter personal ale unor terți protejate de regulamentul menționat sau un secret comercial. Și în această ipoteză, informațiile amintite trebuie să fie comunicate autorității de supraveghere sau instanței competente, cărora le revine obligația de a pondera drepturile și interesele în cauză pentru a stabili întinderea dreptului de acces al persoanei vizate la datele cu caracter personal care o privesc.

Ea constată că, având în vedere necesitatea unei asemenea stabiliri de la caz la caz, articolul 15 alineatul (1) litera (h) din RGPD se opune printre altele aplicării unei dispoziții naționale care exclude, în principiu, dreptul de acces al persoanei vizate atunci când acest acces ar compromite un secret comercial sau un secret profesional al operatorului sau al unui terț. În această privință, Curtea amintește că un stat membru nu poate să stabilească în mod definitiv rezultatul unei ponderări de la caz la caz a drepturilor și a intereselor în cauză impus de dreptul Uniunii ( 7 ).

În concluzie, Curtea a statuat că articolul 15 alineatul (1) litera (h) din RGPD trebuie interpretat în sensul că, în situația în care operatorul consideră că informațiile care trebuie furnizate persoanei vizate în conformitate cu această dispoziție conțin date ale unor terți protejate de acest regulament sau secrete comerciale, respectivul operator este obligat să comunice aceste informații pretins protejate autorității de supraveghere sau instanței competente, cărora le revine obligația de a pondera drepturile și interesele în cauză pentru a stabili întinderea dreptului de acces al persoanei vizate prevăzut la articolul 15 din RGPD.

( 1 ) Hotărârea din 7 decembrie 2023, SCHUFA Holding ș.a. (Scoring) (C‑634/21, EU:C:2023:957).

( 2 ) Articolul 15 alineatul (1) litera (h) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD”).

( 3 ) Prevăzut la articolul 12 alineatul (1) din RGPD.

( 4 ) În special de articolul 22 alineatul (3) din RGPD.

( 5 ) În sensul articolului 2 punctul 1 din Directiva (UE) 2016/943 a Parlamentului European și a Consiliului din 8 iunie 2016 privind protecția know‑how‑ului și a informațiilor de afaceri nedivulgate (secrete comerciale) împotriva dobândirii, utilizării și divulgării ilegale (JO 2016, L 157, p. 1).

( 6 ) Hotărârea din 2 martie 2023, Norra Stockholm Bygg (C‑268/21, EU:C:2023:145, punctul 58).

( 7 ) A se vedea în acest sens Hotărârea din 7 decembrie 2023, SCHUFA Holding ș.a. (Scoring) (C‑634/21, EU:C:2023:957, punctul 70, precum și jurisprudența citată).