Дело C-203/22: Dun & Bradstreet Austria, Съдебно решение от 27 февруари 2025 г.

1) На какви изисквания във връзка със съдържанието трябва да отговаря информацията, предоставена по силата на правото на достъп, за да бъде квалифицирана като достатъчно „съществена“ по смисъла на член 15, параграф 1, буква з) от [ОРЗД])?
В случай на профилиране длъжен ли е администраторът при предоставянето на достъп до информация относно „използваната логика“ по принцип да разкрива, евентуално при спазване на съществуващата производствена тайна, и информация, която е от съществено значение за разбирането на резултата от автоматизираното вземане на индивидуални решения и която по-специално включва: 1) обработените данни на субекта на данните; 2) необходимите за неговото разбиране части от алгоритъма, на който се основава профилирането; и 3) информацията, която е от значение за разкриването на връзката между обработената информация и извършеното оценяване?
Трябва ли в случаите на профилиране, включително и когато е повдигнато възражение за опазване на производствена тайна, при всички положения на лицето с право на достъп по смисъла на член 15, параграф 1, буква з) от ОРЗД да се разкрива следната информация относно конкретното, отнасящо се до него обработване, за да му се даде възможност да защити правата си по член 22, параграф 3 от ОРЗД:
a) предаване на цялата евентуално псевдоанонимизирана информация, по-специално относно начина на обработването на данните на субекта на данните, които позволяват да се провери дали е спазен ОРЗД;
б) предоставяне на разположение на входните данни, използвани за изготвяне на профилирането;
в) параметрите и входните променливи, използвани при определянето на оценката;
г) влиянието на тези параметри и входни променливи върху изчислената оценка;
д) информацията относно формирането на параметрите, съответно на входните променливи;
е) обяснение на причините, поради които лицето с право на достъп по смисъла на член 15, параграф 1, буква з) от ОРЗД е било свързано с определен резултат от оценката, и представяне на свързания с тази оценка извод;
ж) изброяване на категориите профили и обяснение за това какъв извод от оценката е свързан с всяка една от категориите профили?
2) Съществува ли връзка между правото на достъп, предвидено в член 15, параграф 1, буква з) от ОРЗД, от една страна, и гарантираните от член 22, параграф 3 от ОРЗД права на изразяване на собствената гледна точка и на оспорване на осъществено автоматизирано вземане на решение по смисъла на член 22 от ОРЗД, от друга страна, доколкото обхватът на информацията, която следва да бъде предоставена въз основа на искане за достъп по смисъла на член 15, параграф 1, буква з) от ОРЗД, е достатъчно „съществен“ само ако на лицето, което иска достъп и е субект на данните по смисъла на член 15, параграф 1, буква з) от ОРЗД, бъде дадена възможност ефективно, задълбочено и при наличие на изгледи за успех, да упражни гарантираните му от член 22, параграф 3 от ОРЗД права на изразяване на собствената гледна точка и на оспорване на отнасящо се до него автоматизирано вземане на решение по смисъла на член 22 от ОРЗД?
3) a) Трябва ли член 15, параграф 1, буква з) от ОРЗД да се тълкува в смисъл, че следва да се приеме, че е налице „съществена информация“ по смисъла на тази разпоредба само ако тази информация е толкова подробна, че за лицето с право на достъп по смисъла на член 15, параграф 1, буква з) от ОРЗД е възможно да установи дали тази предоставена информация също съответства на фактите, тоест дали разкритата информация също така действително е в основата на разглежданото в конкретния случай автоматизирано вземане на решение?
б) В случай на утвърдителен отговор: как следва да се процедира, когато точността на предоставена от администратор информация може да бъде проверена само като се изисква на лицето с право на достъп по смисъла на член 15, параграф 1, буква з) от ОРЗД да бъдат предоставени данните на трета страна, които са защитени от този регламент („черна кутия“)?
Може ли това противоречие между правото на достъп по смисъла на член 15, параграф 1 от ОРЗД и правото на трети лиза на защита на данните да бъде разрешено, като необходимите за проверка на точността данни на трети лица, които също подлежат на същото профилиране, се разкриват само пред органа или съда, поради което органът или съдът е длъжен самостоятелно да провери дали разкритите данни на тези трети лица съответстват на фактите?
в) В случай на утвърдителен отговор: какви права трябва при всички положения да бъдат предоставени на лицето с право на достъп по смисъла на член 15, параграф 1, буква з) от ОРЗД в случая, когато е необходимо да бъде гарантирана защитата на права на други лица по смисъла на член 15, параграф 4 от ОРЗД чрез въвеждането на посочената във въпрос 3, буква б) черна кутия?
Трябва ли в този случай на лицето с право на достъп по смисъла на член 15, параграф 1, буква з) от ОРЗД при всички положения да се разкриват в псевдоанонимизирана форма данните на други лица, които е необходимо да бъдат разкрити, за да се даде възможност да се провери точността на вземането на решение от страна на администратора по смисъла на член 15, параграф 1 от ОРЗД?
4) a) Как следва да се процедира, когато информацията, която следва да се предостави по смисъла на член 15, параграф 1, буква з) от ОРЗД, отговаря и на изискванията за търговска тайна по смисъла на член 2, точка 1 от Директива [2016/943]?
Може ли противоречието между правото на достъп, гарантирано от член 15, параграф 1, буква з) от ОРЗД, и правото на неразкриване на търговска тайна, защитено с Директива 2016/943, да бъде разрешено, като информацията, която следва да бъде квалифицирана като търговска тайна по смисъла на член 2, точка 1 от Директива 2016/943, се разкрива само на органа или съда, поради което органът или съдът е длъжен самостоятелно да провери дали следва да се приеме, че е налице търговска тайна по смисъла на член 2, точка 1 от Директива 2016/943 и дали информацията, предоставена от администратора по смисъла на член 15, параграф 1 от ОРЗД, съответства на фактите?
б) В случай на утвърдителен отговор: какви права трябва при всички положения да бъдат предоставени на лицето с право на достъп по смисъла на член 15, параграф 1, буква з) от ОРЗД в случая, когато е необходимо да бъде гарантирана защитата на права на други лица по смисъла на член 15, параграф 4 от ОРЗД чрез въвеждането на посочената във въпрос 4, буква а) черна кутия?
Трябва ли (и) в тази хипотеза на несъответствие между информацията, която следва да бъде разкрита на органа, съответно на съда, от една страна, и информацията, която следва да бъде разкрита на лицето с право на достъп по смисъла на член 15, параграф 1, буква з) от ОРЗД, от друга страна, в случаите на профилиране при всички положения на лицето с право на достъп по смисъла на член 15, параграф 1, буква з) от ОРЗД да се разкрива следната информация относно конкретното, отнасящо се до него обработване, за да му се даде възможност в пълен обхват да защити правата си, предоставени му от член 22, параграф 3 от ОРЗД:
– предаване на цялата евентуално псевдоанонимизирана информация, по-специално относно начина на обработването на данните на субекта на данните, които позволяват да се провери дали е спазен ОРЗД;
– предоставяне на разположение на входните данни, използвани за изготвяне на профилирането;
– параметрите и входните променливи, използвани при определянето на оценката;
– влиянието на тези параметри и входни променливи върху изчислената оценка;
– информацията относно формирането на параметрите, съответно на входните променливи;
– обяснение на причините, поради които лицето с право на достъп по смисъла на член 15, параграф 1, буква з) от ОРЗД е било свързано с определен резултат от оценката, и представяне на свързания с тази оценка извод;
– изброяване на категориите профили и обяснение за това какъв извод от оценката е свързан с всяка една от категориите профили?
5) Ограничава ли разпоредбата на член 15, параграф 4 от ОРЗД по някакъв начин обхвата на достъпа, който следва да бъде предоставен съгласно член 15, параграф 1, буква з) от този регламент?
При утвърдителен отговор по какъв начин член 15, параграф 4 от ОРЗД ограничава това право на достъп и как следва да се определи обхватът на ограничението в съответния случай?
6) Съвместима ли е с условията по член 15, параграф 1 във връзка с член 22, параграф 3 от ОРЗД разпоредбата на член 4, параграф 6 от [DSG], съгласно която, „субектът на данните по принцип няма право да иска от администратора достъп до информация на основание на член 15 от ОРЗД, когато предоставянето на тази информация би застрашило поверителността на търговската или производствената тайна на администратора, съответно на трето лице

При утвърдителен отговор при какви условия е налице такава съвместимост?“.