62022CJ0203

DOMSTOLENS DOM (Første Afdeling)

27. februar 2025 ( *1 )

»Præjudiciel forelæggelse – beskyttelse af personoplysninger – forordning (EU) 2016/679 – artikel 15, stk. 1, litra h) – automatiske afgørelser, herunder profilering – »scoring« – vurdering af en fysisk persons kreditværdighed – adgang til meningsfulde oplysninger om logikken bag profilering – kontrol af de forelagte oplysningers korrekthed – direktiv (EU) 2016/943 – artikel 2, nr. 1) – forretningshemmelighed – personoplysninger om tredjemand«

I sag C-203/22,

angående en anmodning om præjudiciel afgørelse i henhold til artikel 267 TEUF, indgivet af Verwaltungsgericht Wien (den regionale forvaltningsdomstol i Wien, Østrig) ved afgørelse af 11. februar 2022, indgået til Domstolen den 16. marts 2022, i sagen

mod

Magistrat der Stadt Wien,

procesdeltager:

Dun & Bradstreet Austria GmbH,

har

DOMSTOLEN (Første Afdeling),

sammensat af Domstolens præsident, K. Lenaerts, som fungerende formand for Første Afdeling, Domstolens vicepræsident, T. von Danwitz (refererende dommer), og dommerne A. Kumin, N. Jääskinen og I. Ziemele,

generaladvokat: J. Richard de la Tour,

justitssekretær: A. Calot Escobar,

på grundlag af den skriftlige forhandling,

efter at der er afgivet indlæg af:

–	CK ved Rechtsanwalt C. Wirthensohn,

–	Dun & Bradstreet Austria GmbH ved solicitor D. Cooper, avocate A.-S. Oberschelp de Meneses og advocaten K. Van Quathem og B. Van Vooren,

–	den spanske regering ved A. Ballesteros Panizo, som befuldmægtiget,

–	den nederlandske regering ved M.K. Bulterman og C.S. Schillemans, som befuldmægtigede,

–	den polske regering ved B. Majczyna, som befuldmægtiget,

–	Europa-Kommissionen ved A. Bouchagiar, F. Erlbacher og H. Kranenborg, som befuldmægtigede,

og efter at generaladvokaten har fremsat forslag til afgørelse i retsmødet den 12. september 2024,

afsagt følgende

Dom

Anmodningen om præjudiciel afgørelse vedrører fortolkningen af dels artikel 15, stk. 1, litra h), og artikel 22 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«), dels artikel 2, nr. 1), i Europa-Parlamentets og Rådets direktiv (EU) 2016/943 af 8. juni 2016 om beskyttelse af fortrolig knowhow og fortrolige forretningsoplysninger (forretningshemmeligheder) mod ulovlig erhvervelse, brug og videregivelse (EUT 2016, L 157, s. 1).

Anmodningen er blevet indgivet i forbindelse med en tvist mellem CK og Magistrat der Stadt Wien (den kommunale forvaltning i Wien, Østrig) vedrørende tvangsfuldbyrdelse af en retsafgørelse, hvorved Bisnode Austria GmbH, nu Dun & Bradstreet Austria GmbH (herefter »D & B«), en virksomhed, der er specialiseret i kreditvurderinger, blev pålagt at give CK meningsfulde oplysninger om logikken bag en profilering angående hendes personoplysninger.

Retsforskrifter

EU-retten

Databeskyttelsesforordningen

4., 11., 58., 63. og 71. betragtning til databeskyttelsesforordningen lyder således:

»(4)

Behandling af personoplysninger bør have til formål at tjene menneskeheden. Retten til beskyttelse af personoplysninger er ikke en absolut ret; den skal ses i sammenhæng med sin funktion i samfundet og afvejes i forhold til andre grundlæggende rettigheder i overensstemmelse med proportionalitetsprincippet. Denne forordning overholder alle de grundlæggende rettigheder og følger de frihedsrettigheder og principper, der anerkendes i [Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«)] som forankret i traktaterne, navnlig respekten for privatliv og familieliv, hjem og kommunikation, beskyttelsen af personoplysninger, retten til at tænke frit, til samvittigheds- og religionsfrihed, ytrings- og informationsfrihed, frihed til at oprette og drive egen virksomhed, adgang til effektive retsmidler og til en retfærdig rettergang og kulturel, religiøs og sproglig mangfoldighed.

[...]

(11)

For at sikre effektiv beskyttelse af personoplysninger i [Den Europæiske Union] er det nødvendigt at styrke og præcisere de registreredes rettigheder og de forpligtelser, der påhviler dem, der behandler og træffer afgørelse om behandling af personoplysninger, samt at der gives tilsvarende beføjelser til at føre tilsyn med og sikre overholdelse af reglerne om beskyttelse af personoplysninger og indføres tilsvarende sanktioner ved overtrædelser i medlemsstaterne.

[...]

(58)	Princippet om gennemsigtighed kræver, at enhver oplysning, som er rettet til offentligheden eller den registrerede, er kortfattet, lettilgængelig og letforståelig, og at der benyttes et klart og enkelt sprog og endvidere, hvis det er passende, visualisering. [...]

[...]

(63)

En registreret bør have ret til indsigt i personoplysninger, der er indsamlet om vedkommende, og til let og med rimelige mellemrum at udøve denne ret med henblik på at forvisse sig om og kontrollere en behandlings lovlighed. [...] Denne ret bør ikke krænke andres rettigheder eller frihedsrettigheder, herunder forretningshemmeligheder eller intellektuel ejendomsret, navnlig den ophavsret, som programmerne er beskyttet af. Denne vurdering bør dog ikke resultere i en afvisning af at give al information til den registrerede. [...]

[...]

(71)

Den registrerede bør have ret til ikke at blive gjort til genstand for en afgørelse, der kan omfatte en foranstaltning, som evaluerer personlige forhold vedrørende vedkommende, og som alene bygger på automatisk behandling, og som har retsvirkning eller som på tilsvarende vis betydeligt påvirker den pågældende, såsom et automatisk afslag på en onlineansøgning om kredit eller e-rekrutteringsprocedurer uden nogen menneskelig indgriben. En sådan behandling omfatter »profilering«, der består af enhver form for automatisk behandling af personoplysninger, der evaluerer de personlige forhold vedrørende en fysisk person, navnlig for at analysere eller forudsige forhold vedrørende den registreredes arbejdsindsats, økonomisk situation, helbred, personlige præferencer eller interesser, pålidelighed eller adfærd eller geografiske position eller bevægelser, når den har retsvirkning for den pågældende eller på tilsvarende vis betydeligt påvirker den pågældende. [...] En sådan behandling bør under alle omstændigheder være omfattet af de fornødne garantier, herunder specifik underretning af den registrerede og retten til menneskelig indgriben, til at fremkomme med synspunkter, til at få en forklaring på den afgørelse, der er truffet efter en sådan evaluering, og til at bestride afgørelsen. [...]«

Forordningens artikel 4 med overskriften »Definitioner« fastsætter:

»I denne forordning forstås ved:

[...]

»profilering«: enhver form for automatisk behandling af personoplysninger, der består i at anvende personoplysninger til at evaluere bestemte personlige forhold vedrørende en fysisk person, navnlig for at analysere eller forudsige forhold vedrørende den fysiske persons arbejdsindsats, økonomiske situation, helbred, personlige præferencer, interesser, pålidelighed, adfærd, geografisk position eller bevægelser.«

Forordningens artikel 12 med overskriften »Gennemsigtig oplysning, meddelelser og nærmere regler for udøvelsen af den registreredes rettigheder« bestemmer i stk. 1:

»Den dataansvarlige træffer passende foranstaltninger til at give enhver oplysning som omhandlet i artikel 13 og 14 og enhver meddelelse i henhold til artikel 15-22 og 34 om behandling til den registrerede i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog, navnlig når oplysninger specifikt er rettet mod et barn. [...]«

Forordningens artikel 13, som vedrører oplysningspligt ved indsamling af personoplysninger hos den registrerede, og artikel 14, som vedrører oplysningspligt, hvis personoplysninger ikke er indsamlet hos den registrerede, fastsætter i henholdsvis stk. 2, litra f), og stk. 2, litra g), at den dataansvarlige for at sikre en rimelig og gennemsigtig behandling af den registrerede bl.a. skal give denne oplysning om »forekomsten af automatiske afgørelser, herunder profilering, som omhandlet i artikel 22, stk. 1 og 4, og i disse tilfælde som minimum meningsfulde oplysninger om logikken heri samt betydningen og de forventede konsekvenser af en sådan behandling for den registrerede«.

Databeskyttelsesforordningens artikel 15 med overskriften »Den registreredes indsigtsret« har følgende ordlyd:

»1. Den registrerede har ret til at få den dataansvarliges bekræftelse på, om personoplysninger vedrørende den pågældende behandles, og i givet fald adgang til personoplysningerne og følgende information:

[...]

h)	forekomsten af automatiske afgørelser, herunder profilering, som omhandlet i artikel 22, stk. 1 og 4, og som minimum meningsfulde oplysninger om logikken heri samt betydningen og de forventede konsekvenser af en sådan behandling for den registrerede.

[...]

3. Den dataansvarlige udleverer en kopi af de personoplysninger, der behandles. For yderligere kopier, som den registrerede anmoder om, kan den dataansvarlige opkræve et rimeligt gebyr baseret på de administrative omkostninger. Hvis den registrerede indgiver anmodningen elektronisk, og medmindre den registrerede anmoder om andet, udleveres oplysningerne i en almindeligt anvendt elektronisk form.

4. Retten til at modtage en kopi som omhandlet i stk. 3 må ikke krænke andres rettigheder og frihedsrettigheder.«

Forordningens artikel 22 med overskriften »Automatiske individuelle afgørelser, herunder profilering« lyder således:

»1. Den registrerede har ret til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling, herunder profilering, som har retsvirkning eller på tilsvarende vis betydeligt påvirker den pågældende.

2. Stk. 1 finder ikke anvendelse, hvis afgørelsen:

a)	er nødvendig for indgåelse eller opfyldelse af en kontrakt mellem den registrerede og en dataansvarlig

b)	er hjemlet i EU-ret eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt, og som også fastsætter passende foranstaltninger til beskyttelse af den registreredes rettigheder og frihedsrettigheder samt legitime interesser eller

c)	er baseret på den registreredes udtrykkelige samtykke.

3. I de tilfælde, der er omhandlet i stk. 2, litra a) og c), gennemfører den dataansvarlige passende foranstaltninger til at beskytte den registreredes rettigheder og frihedsrettigheder samt legitime interesser, i det mindste den registreredes ret til menneskelig indgriben fra den dataansvarliges side, til at fremkomme med sine synspunkter og til at bestride afgørelsen.

4. De afgørelser, der er omhandlet i stk. 2, må ikke baseres på særlige kategorier af personoplysninger, jf. artikel 9, stk. 1, medmindre artikel 9, stk. 2, litra a) eller g), finder anvendelse, og der er indført passende foranstaltninger til beskyttelse af den registreredes rettigheder og frihedsrettigheder samt legitime interesser.«

I forordningens artikel 23 med overskriften »Begrænsninger« hedder det:

»1. EU-ret eller medlemsstaternes nationale ret, som den dataansvarlige eller databehandleren er underlagt, kan ved lovgivningsmæssige foranstaltninger begrænse rækkevidden af de forpligtelser og rettigheder, der er omhandlet i artikel 12-22 og 34 samt artikel 5, for så vidt bestemmelserne heri svarer til rettighederne og forpligtelserne i artikel 12-22, når en sådan begrænsning respekterer det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og er en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund af hensyn til:

[...]

i) beskyttelse af den registrerede eller andres rettigheder og frihedsrettigheder

[...]

2. Navnlig skal enhver lovgivningsmæssig foranstaltning, der er omhandlet i stk. 1, som minimum, hvor det er relevant, indeholde specifikke bestemmelser vedrørende:

a)	formålene med behandlingen eller kategorierne af behandling

b)	kategorierne af personoplysninger

c)	rækkevidden af de indførte begrænsninger

d)	garantierne for at undgå misbrug eller ulovlig adgang eller overførsel

e)	specifikation af den dataansvarlige eller kategorierne af dataansvarlige

f)	opbevaringsperioder og de gældende garantier under hensyntagen til behandlingens karakter, omfang og formål eller kategorier af behandling

g)	risiciene for de registreredes rettigheder og frihedsrettigheder, og

h)	de registreredes ret til at blive underrettet om begrænsningen, medmindre dette kan skade formålet med begrænsningen.«

Forordningens artikel 54 med overskriften »Regler om oprettelse af en tilsynsmyndighed« bestemmer i stk. 2:

»Den enkelte tilsynsmyndigheds medlem eller medlemmer og personale har i overensstemmelse med EU-retten eller medlemsstaternes nationale ret såvel under som efter deres embedsperiode tavshedspligt for så vidt angår alle fortrolige oplysninger, der er kommet til deres kendskab under udførelsen af deres opgaver eller udøvelsen af deres beføjelser. I deres embedsperiode gælder denne tavshedspligt især indberetninger fra fysiske personer af overtrædelser af denne forordning.«

Databeskyttelsesforordningens artikel 58 med overskriften »Beføjelser« fastsætter i stk. 1, litra e):

»Hver tilsynsmyndighed har alle af følgende undersøgelsesbeføjelser:

e)	af den dataansvarlige eller databehandleren at få adgang til alle personoplysninger og oplysninger, der er nødvendige for at varetage dens opgaver.«

Direktiv 2016/943

I 35. betragtning til direktiv 2016/943 hedder det:

»Dette direktiv bør [...] ikke berøre de rettigheder og forpligtelser, der er fastsat i [Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT 1995, L 281, s. 31)], navnlig den registreredes ret til indsigt i sine personoplysninger, når de behandles, og til berigtigelse, sletning eller blokering af oplysninger, hvis de er ufuldstændige eller urigtige [...]«

Nævnte direktivs artikel 2, nr. 1), fastsætter:

»I dette direktiv forstås ved:

»forretningshemmelighed«: oplysninger, som opfylder følgende krav:

a)	de er hemmelige i den forstand, at de ikke i deres helhed eller i den præcise konfiguration eller sammensætning af deres komponenter er almindeligt kendt blandt eller umiddelbart tilgængelige for personer i de kredse, der normalt beskæftiger sig med den pågældende type oplysninger

b)	de har handelsværdi, fordi de er hemmelige

c)	de er af den person, som lovligt kontrollerer oplysningerne, under de givne omstændigheder blevet underkastet rimelige foranstaltninger til hemmeligholdelse.«

Direktivets artikel 9 med overskriften »Beskyttelse af forretningshemmeligheder under retssager« bestemmer:

»1. Medlemsstaterne sikrer, at parterne, deres advokater eller andre repræsentanter, retspersonale, vidner, eksperter og enhver anden person, som medvirker i retssager vedrørende ulovlig erhvervelse, brug eller videregivelse af en forretningshemmelighed, eller som har adgang til dokumenter, der indgår som led i de pågældende retssager, ikke har tilladelse til at bruge eller videregive forretningshemmeligheder eller påståede forretningshemmeligheder, som de kompetente retslige myndigheder som svar på en behørigt begrundet anmodning fra en interesseret part har identificeret som fortrolige, og som de er blevet bekendt med som følge af en sådan deltagelse eller adgang. Medlemsstaterne kan også tillade de kompetente retslige myndigheder at træffe sådanne foranstaltninger på eget initiativ.

Den forpligtelse, der er omhandlet i første afsnit, forbliver i kraft, når retssagen er afsluttet. Forpligtelsen ophører imidlertid med at eksistere under følgende omstændigheder:

a)	hvis den påståede forretningshemmelighed ved en endelig retsafgørelse konstateres ikke at opfylde kravene i artikel 2, nr. 1), eller

b)	hvis de pågældende oplysninger med tiden bliver almindeligt kendt blandt eller umiddelbart tilgængelige for personer i de kredse, som normalt beskæftiger sig med den type oplysninger.

2. Medlemsstaterne sikrer også, at de kompetente retslige myndigheder på foranledning af en behørigt begrundet anmodning fra en part kan træffe specifikke foranstaltninger, som er nødvendige for at beskytte enhver forretningshemmelighed eller påstået forretningshemmelighed, som bruges, eller som der henvises til under retssagen vedrørende ulovlig erhvervelse, brug eller videregivelse af en forretningshemmelighed. Medlemsstaterne kan også tillade de kompetente retslige myndigheder at træffe sådanne foranstaltninger på eget initiativ.

De foranstaltninger, der er omhandlet i første afsnit, skal som minimum give mulighed for at:

a)	begrænse adgangen til ethvert dokument med forretningshemmeligheder eller påståede forretningshemmeligheder indgivet af parterne eller tredjeparter, i sin helhed eller i uddrag, til et begrænset antal personer

b)	begrænse adgangen til retsmøder, når forretningshemmeligheder eller påståede forretningshemmeligheder muligvis vil blive videregivet, og til den tilsvarende protokol eller udskrifter til et begrænset antal personer

c)	stille en ikkefortrolig udgave af enhver retsafgørelse til rådighed for andre end det begrænsede antal personer, jf. litra a) og b), hvori de afsnit, der indeholder forretningshemmeligheder, er fjernet eller redigeret.

Antallet af personer, jf. andet afsnit, litra a) og b), må ikke overstige det, der er nødvendigt for at sikre sagens parter adgang til effektive retsmidler og til en upartisk domstol, og skal omfatte mindst en fysisk person for hver af sagens parter og de respektive advokater eller andre repræsentanter for sagens parter.

3. Når de kompetente retslige myndigheder træffer afgørelse om de foranstaltninger, der er omhandlet i stk. 2, og vurderer deres rimelighed, tager de hensyn til behovet for at sikre adgangen til effektive retsmidler og til en upartisk domstol, parternes, og hvor det er relevant tredjeparters, legitime interesser og til eventuel skade, som parterne, og hvor det er relevant tredjeparter, måtte lide som følge af, at sådanne foranstaltninger efterkommes eller afvises.

4. Behandling af personoplysninger i henhold til stk. 1, 2 eller 3 gennemføres i overensstemmelse med [direktiv 95/46].«

Østrigsk ret

I henhold til § 4, stk. 6, i Datenschutzgesetz (lov om databeskyttelse) af 17. august 1999 (BGBl. I, 165/1999) i den affattelse, der finder anvendelse på tvisten i hovedsagen (herefter »databeskyttelsesloven«), kan den registrerede i princippet ikke få indsigt i sine personoplysninger som fastsat i databeskyttelsesforordningens artikel 15, når dette udgør en trussel mod en forretningshemmelighed hos den dataansvarlige eller andre.

Tvisten i hovedsagen og de præjudicielle spørgsmål

16	En mobiloperatør nægtede at indgå eller forlænge en mobiltelefoniaftale med CK, som ville have indebåret en betaling på 10 EUR om måneden, med den begrundelse, at hun ifølge en automatisk kreditvurdering af hende, som var foretaget af D & B, ikke var tilstrækkelig kreditværdig.

17	CK indbragte sagen for den østrigske databeskyttelsesmyndighed, som pålagde D & B at give CK meningsfulde oplysninger om logikken bag den automatiske afgørelse, der var truffet på grundlag af personoplysningerne om CK.

D & B anlagde sag til prøvelse af myndighedens afgørelse ved Bundesverwaltungsgericht (forbundsdomstol i forvaltningsretlige sager, Østrig), idet virksomheden i det væsentlige gjorde gældende, at den på grund af en beskyttet forretningshemmelighed ikke var forpligtet til at give CK yderligere oplysninger ud over dem, hun allerede havde fået.

Ved afgørelse af 23. oktober 2019 (herefter »afgørelsen af 23. oktober 2019«) fastslog den nævnte domstol, at D & B havde tilsidesat databeskyttelsesforordningens artikel 15, stk. 1, litra h), idet virksomheden ikke havde givet CK meningsfulde oplysninger om logikken bag den automatiske afgørelse, der var truffet på grundlag af personoplysningerne om CK, eller i hvert fald ikke havde givet en tilstrækkelig begrundelse for, hvorfor det ikke var muligt at give disse oplysninger.

I afgørelsen bemærkede Bundesverwaltungsgericht (forbundsdomstol i forvaltningsretlige sager) navnlig, at D & B ikke havde givet CK tilstrækkelige forklaringer til, at hun kunne forstå, hvordan prognosen for sandsynligheden af hendes fremtidige adfærd (»score«) – som virksomheden havde informeret hende om, idet den havde præciseret, at visse sociodemografiske data om CK var blevet »aggregeret på en tilsvarende måde« med henblik på at opnå denne »score« – var blevet udarbejdet.

Afgørelsen af 23. oktober 2019 er blevet endelig og er eksigibel i henhold til østrigsk ret. Den anmodning om tvangsfuldbyrdelse af afgørelsen, som CK indgav til den kommunale forvaltning i Wien, som er fuldbyrdelsesmyndigheden, blev imidlertid afslået med den begrundelse, at D & B i tilstrækkelig grad havde opfyldt sin oplysningspligt, selv om selskabet ikke havde givet yderligere oplysninger, efter at den pågældende afgørelse blev truffet.

22	CK har anlagt sag til prøvelse af afgørelsen fra den kommunale forvaltning i Wien ved Verwaltungsgericht Wien (den regionale forvaltningsdomstol i Wien, Østrig), som er den forelæggende ret, med henblik på tvangsfuldbyrdelse af afgørelsen af 23. oktober 2019.

23	Den forelæggende ret er af den opfattelse, at den i henhold til østrigsk ret er forpligtet til at fuldbyrde sidstnævnte afgørelse, hvilket indebærer, at det skal fastlægges, hvilke konkrete handlinger D & B er forpligtet til at udføre i henhold til afgørelsen.

Da den forelæggende ret vurderer, at dette kun kan fastlægges af en sagkyndig med de fornødne kvalifikationer, har den udpeget en sagkyndig, som har fundet, at D & B som minimum er forpligtet til at give følgende oplysninger for at opfylde sine forpligtelser over for CK:

–	de personoplysninger om CK, som er blevet behandlet i forbindelse med dannelse af en »faktor« (fødselsdato, adresse, køn osv.)

–	den matematiske formel, der ligger til grund for beregningen af den i hovedsagen omhandlede »score«

–	den konkrete værdi, der er tildelt CK for hver af de pågældende faktorer, og

–	nøjagtigheden af de intervaller, inden for hvilke der tillægges forskellige data samme værdi for den samme faktor (vurderinger i intervaller, diskrete beregninger eller vurdering ud fra ejendomsværdi/indeksering).

For at sikre, at CK kan kontrollere korrektheden af disse minimumsoplysninger efter videregivelsen heraf, bør D & B også give en liste over de »scorer«, som andre personer er blevet tildelt (»scoring«), for perioden på seks måneder før og seks måneder efter fastlæggelsen af CK’s »score«, og som er opnået på grundlag af samme beregningsregel.

Ifølge den forelæggende ret kan det kun ved fremlæggelse af de minimumsoplysninger, som den nævnte sagkyndige har identificeret, gøres muligt at kontrollere sammenhængen i og korrektheden af de oplysninger, som en dataansvarlig har givet i henhold til databeskyttelsesforordningens artikel 15, stk. 1, litra h).

I den foreliggende sag er der flere indikationer, der klart viser, at de oplysninger, som D & B har fremlagt, ikke svarer til virkeligheden. Mens CK ifølge de oplysninger, der blev videregivet til hende, herunder bl.a. den opnåede »score«, havde en meget høj kreditværdighed, førte den reelle profilering nemlig til den konklusion, at hun ikke var kreditværdig, herunder for så vidt angår betalingen af et beløb på 10 EUR om måneden i henhold til en mobiltelefoniaftale.

28	Efter den forelæggende rets opfattelse er spørgsmålet derfor, om databeskyttelsesforordningens artikel 15, stk. 1, litra h), sikrer, at den registrerede kan kontrollere korrektheden af de oplysninger, som den dataansvarlige har videregivet.

Hvis databeskyttelsesforordningens artikel 15, stk. 1, litra h), ikke sikrer en sådan kontrol, ville den deri fastsatte ret til indsigt i den registreredes personoplysninger og andre oplysninger blive frataget enhver betydning og overflødiggjort, så meget desto mere som den enkelte dataansvarlige i så fald ville kunne give urigtige oplysninger.

30	Der skal ligeledes tages stilling til, om og i givet fald i hvilket omfang undtagelsen om, at der foreligger en forretningshemmelighed, kan begrænse denne indsigtsret, som er sikret ved databeskyttelsesforordningens artikel 15, stk. 1, litra h), sammenholdt med artikel 22.

I lyset af reglerne i artikel 9 i direktiv 2016/943 skal det vurderes, om det er muligt kun at fremlægge de oplysninger, der betegnes som »forretningshemmeligheder« som omhandlet i direktivets artikel 2, nr. 1), for den myndighed eller ret, som sagen er indbragt for, således at denne myndighed eller denne ret selvstændigt kan efterprøve, om der faktisk kan antages at foreligge en sådan forretningshemmelighed, og om de pågældende oplysninger, som den dataansvarlige har givet som omhandlet i databeskyttelsesforordningens artikel 15, stk. 1, svarer til virkeligheden i den omhandlede situation.

Endelig skal det undersøges, om en bestemmelse som databeskyttelseslovens § 4, stk. 6, hvorefter den registrerede i princippet ikke har indsigtsret i henhold til databeskyttelsesforordningens artikel 15, hvis videregivelse af de pågældende oplysninger ville udgøre en trussel mod en forretningshemmelighed hos den dataansvarlige eller andre, kan anses for at være i overensstemmelse med databeskyttelsesforordningens artikel 15, stk. 1, sammenholdt med artikel 22, stk. 3.

På denne baggrund har Verwaltungsgericht Wien (den regionale forvaltningsdomstol i Wien) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

»1)

Hvilke materielle krav skal en fremlagt oplysning opfylde for at anses for tilstrækkelig »meningsfuld« som omhandlet i artikel 15, stk. 1, litra h), i [databeskyttelsesforordningen]?

Skal den dataansvarlige – om nødvendigt med den indskrænkning, at eksisterende forretningshemmeligheder beskyttes – når der er tale om en profilering, i forbindelse med oplysning om »logikken heri« principielt også videregive de oplysninger, der er væsentlige for at kunne forstå resultatet af den automatiske individuelle afgørelse, herunder navnlig 1) de personoplysninger om den registrerede, der har været genstand for behandlingen, 2) de dele af algoritmen bag profileringen, der er nødvendige for at kunne forstå afgørelsen, og 3) de oplysninger, der er relevante for at kunne forstå sammenhængen mellem de behandlede data og evalueringen af dem?

Skal den, der har ret til indsigt som omhandlet i artikel 15, stk. 1, litra h), i [databeskyttelsesforordningen], når der er tale om profilering, og selv i tilfælde af, at der fremsættes indsigelse om en forretningshemmelighed, under alle omstændigheder modtage følgende oplysninger om den konkrete behandling af vedkommendes personoplysninger, således at denne sættes i stand til at beskytte sine rettigheder i henhold til artikel 22, stk. 3, i [databeskyttelsesforordningen]:

a)	alle de oplysninger, der gør det muligt at efterprøve, at [databeskyttelsesforordningen] er overholdt, herved navnlig oplysninger om den måde, den registreredes personoplysninger er behandlet på, idet oplysningerne om nødvendigt må være pseudoanonymiserede

b)	de data, der er anvendt til profileringen, idet disse stilles til rådighed

c)	de parametre og inputvariabler, der er benyttet til at foretage vurderingen

d)	disse parametre og inputvariablers indflydelse på den beregnede vurdering

e)	information om, hvorledes nævnte parametre og inputvariabler er tilvejebragt

f)	forklaring om, hvorfor den, der har ret til indsigt som omhandlet i artikel 15, stk. 1, litra h), i [databeskyttelsesforordningen], blev henført til et bestemt vurderingsresultat, og redegørelse for, hvilket udsagn der blev forbundet med dette resultat

g)	liste over profilkategorierne og oplysning om, hvilket vurderingsudsagn der er forbundet med hver enkelt profilkategori?

Er indsigtsretten som omhandlet i artikel 15, stk. 1, litra h), i [databeskyttelsesforordningen] knyttet til retten til at fremkomme med sine synspunkter som omhandlet i artikel 22, stk. 3, i [databeskyttelsesforordningen] og bestride en automatisk afgørelse som omhandlet i artikel 22 i [databeskyttelsesforordningen], for så vidt som omfanget af de oplysninger, der skal meddeles efter anmodning om indsigt i henhold til artikel 15, stk. 1, litra h), i [databeskyttelsesforordningen], kun er tilstrækkelig »meningsfuldt«, hvis den, der anmoder om indsigt og er registreret som omhandlet i artikel 15, stk. 1, litra h), i [databeskyttelsesforordningen], sættes i stand til faktisk at gøre brug af retten til at fremkomme med sine synspunkter som omhandlet i artikel 22, stk. 3, i [databeskyttelsesforordningen] og bestride en automatisk afgørelse som omhandlet i artikel 22 i [databeskyttelsesforordningen], på grundig og formålstjenlig vis?

a) Skal artikel 15, stk. 1, litra h), i [databeskyttelsesforordningen] fortolkes således, at der kun er tale om »meningsfulde oplysninger«, såfremt oplysningerne er så vidtgående, at den, der har indsigtsret i henhold til artikel 15, stk. 1, litra h), i [databeskyttelsesforordningen], har mulighed for at fastslå, om de meddelte oplysninger er i overensstemmelse med fakta, altså om de faktisk også har ligget til grund for den automatiske individuelle afgørelse?

b) Såfremt dette spørgsmål skal besvares bekræftende: Hvilken fremgangsmåde skal anvendes, hvis det kun er muligt at efterprøve, om en oplysning fra en dataansvarlig er korrekt, ved, at den, der har indsigtsret i henhold til artikel 15, stk. 1, litra h), i [databeskyttelsesforordningen], modtager personoplysninger om tredjemænd, der ligeledes er beskyttet i henhold til [databeskyttelsesforordningen] (black-box)?

Kan dette spændingsfelt mellem indsigtsretten i henhold til artikel 15, stk. 1, i [databeskyttelsesforordningen] og tredjemands databeskyttelsesret fjernes ved, at de personoplysninger om tredjemænd, der ligeledes var genstand for samme profilering, og som er nødvendige for at kunne foretage korrekthedskontrollen, udelukkende videregives til den relevante myndighed eller domstol, der derefter selvstændigt skal efterprøve, om de meddelte personoplysninger om de pågældende tredjemænd er i overensstemmelse med fakta?

c) Såfremt dette spørgsmål skal besvares bekræftende: Hvilke rettigheder skal under alle omstændigheder indrømmes den, der har indsigtsret i henhold til artikel 15, stk. 1, litra h), i [databeskyttelsesforordningen], såfremt der er pligt til at sikre beskyttelse af andres rettigheder som omhandlet i artikel 15, stk. 4, i [databeskyttelsesforordningen], når der indrettes en black-box som nævnt i spørgsmål 3b)?

Skal de oplysninger om andre, der i så fald skal meddeles den, der har indsigtsret som omhandlet i artikel 15, stk. 1, litra h), i [databeskyttelsesforordningen], for at gøre det muligt at kontrollere, at den dataansvarliges afgørelse er korrekt, som omhandlet i artikel 15, stk. 1, i [databeskyttelsesforordningen], videregives i pseudoanonymiseret form?

a) Hvilken fremgangsmåde skal anvendes, såfremt de oplysninger, der skal videregives i henhold til artikel 15, stk. 1, litra h), i [databeskyttelsesforordningen], ligeledes opfylder betingelserne for en forretningshemmelighed som omhandlet i artikel 2, nr. 1), i [direktiv 2016/943]?

Kan spændingsfeltet mellem den indsigtsret, der garanteres i artikel 15, stk. 1, litra h), i [databeskyttelsesforordningen], og retten til hemmeligholdelse af en forretningshemmelighed, der beskyttes i direktiv […] 2016/943, fjernes ved, at de oplysninger, der skal kvalificeres som forretningshemmelighed i henhold til direktiv […] 2016/943, udelukkende videregives til den relevante myndighed eller domstol, der derefter selvstændigt skal efterprøve, om der foreligger en forretningshemmelighed som omhandlet i artikel 2, nr. 1), i direktiv […] 2016/943, og om oplysningerne fra den dataansvarlige som omhandlet i artikel 15, stk. 1, i [databeskyttelsesforordningen] er i overensstemmelse med fakta?

Såfremt dette spørgsmål skal besvares bekræftende: Hvilke rettigheder skal under alle omstændigheder indrømmes den, der har indsigtsret i henhold til artikel 15, stk. 1, litra h), i [databeskyttelsesforordningen], såfremt der er pligt til at sikre beskyttelse af andres rettigheder som omhandlet i artikel 15, stk. 4, i [databeskyttelsesforordningen], når der indrettes en black-box som nævnt i spørgsmål 3b)?

Skal den, der har indsigtsret som omhandlet i artikel 15, stk. 1, litra h), i [databeskyttelsesforordningen], (også) i et sådant tilfælde, hvor der ikke skal videregives de samme oplysninger til henholdsvis myndigheden/domstolen og den, der har indsigtsret som omhandlet i artikel 15, stk. 1, litra h), i [databeskyttelsesforordningen], når der er tale om profilering, under alle omstændigheder modtage følgende oplysninger om den konkrete behandling af sine personoplysninger, således at vedkommende kan beskytte sine rettigheder i henhold til artikel 22, stk. 3, i [databeskyttelsesforordningen] fuldt ud:

–	alle de oplysninger, der gør det muligt at efterprøve, at [databeskyttelsesforordningen] er overholdt, herved navnlig oplysninger om den måde, den registreredes personoplysninger er behandlet på, idet oplysningerne om nødvendigt må være pseudoanonymiserede

–	de data, der er anvendt til profileringen, idet disse stilles til rådighed

–	de parametre og inputvariabler, der er benyttet til at foretage vurderingen

–	disse parametre og inputvariablers indflydelse på den beregnede vurdering

–	oplysninger om, hvorledes nævnte parametre og inputvariabler er tilvejebragt

–	forklaring om, hvorfor den, der har ret til indsigt som omhandlet i artikel 15, stk. 1, litra h), i [databeskyttelsesforordningen], blev henført til et bestemt vurderingsresultat, og redegørelse for, hvilket udsagn der blev forbundet med dette resultat

–	liste over profilkategorierne og oplysning om, hvilket vurderingsudsagn der er forbundet med hver enkelt profilkategori?

Begrænses omfanget af de oplysninger, der skal meddeles i henhold til artikel 15, stk. 1, litra h), i [databeskyttelsesforordningen], på en eller anden måde af artikel 15, stk. 4, i [databeskyttelsesforordningen]?

Hvorledes begrænses indsigtsretten i bekræftende fald af artikel 15, stk. 4, i [databeskyttelsesforordningen], og hvordan skal omfanget af en sådan begrænsning fastslås konkret?

Er bestemmelsen i § 4, stk. 6, i [databeskyttelsesloven], hvorefter »den indsigtsret, som den registrerede i henhold til artikel 15 i [databeskyttelsesforordningen] med forbehold af andre lovbegrænsninger har over for en dataansvarlig, som regel ikke (består), hvis videregivelse af de pågældende oplysninger ville udgøre en trussel mod en forretningshemmelighed hos den dataansvarlige eller andre«, forenelig med betingelserne i artikel 15, stk. 1, sammenholdt med artikel 22, stk. 3, i [databeskyttelsesforordningen]? Hvornår er betingelserne i givet fald opfyldt?«

Retsforhandlingerne for Domstolen

34	Ved afgørelse af 8. december 2022 udsatte Domstolens præsident behandlingen af den foreliggende sag, indtil der forelå en endelig afgørelse i sag C-634/21, SCHUFA Holding m.fl. (Scoring).

I overensstemmelse med Domstolens præsidents afgørelse af 13. december 2023 gav Domstolens Justitskontor den forelæggende ret meddelelse om dom af 7. december 2023, SCHUFA Holding m.fl. (Scoring) (C-634/21, EU:C:2023:957), idet Justitskontoret opfordrede den forelæggende ret til at oplyse, om den, henset til denne dom, ønskede at opretholde sin anmodning om præjudiciel afgørelse.

Ved skrivelse indleveret til Domstolens Justitskontor den 29. januar 2024 oplyste den forelæggende ret, at den opretholdt sin anmodning om præjudiciel afgørelse, eftersom dom af 7. december 2023, SCHUFA Holding m.fl. (Scoring) (C-634/21, EU:C:2023:957), ikke gjorde det muligt at besvare de spørgsmål, som den har stillet i den foreliggende sag.

37	Ved afgørelse af 14. februar 2024 besluttede Domstolens præsident derfor, at den foreliggende sag skulle genoptages.

Om de præjudicielle spørgsmål

Det første og det andet spørgsmål samt det tredje spørgsmål, litra a)

Med det første og det andet spørgsmål samt det tredje spørgsmål, litra a), som skal behandles samlet, ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 15, stk. 1, litra h), skal fortolkes således, at den registrerede i tilfælde af automatiske afgørelser, herunder profilering, som omhandlet i forordningens artikel 22, stk. 1, kan kræve, at den dataansvarlige som led i de »meningsfulde oplysninger om logikken heri« giver en udtømmende forklaring på den procedure og de principper, der konkret er anvendt til automatisk at udnytte personoplysningerne om den registrerede med henblik på at opnå et bestemt resultat, såsom en kreditværdighedsprofil.

Ifølge Domstolens faste praksis skal der ved fortolkningen af en EU-retlig bestemmelse ikke blot tages hensyn til dens ordlyd, men også til den sammenhæng, hvori bestemmelsen indgår, og de mål, der forfølges med den ordning, som den udgør en del af (dom af 4.5.2023, Österreichische Datenschutzbehörde og CRIF, C-487/21, EU:C:2023:369, præmis 19 og den deri nævnte retspraksis).

Hvad indledningsvis angår ordlyden af databeskyttelsesforordningens artikel 15, stk. 1, litra h), skal det for det første bemærkes, at betydningen af begrebet »informations utiles« (o.a.: i den danske sprogversion »meningsfulde oplysninger«) i bestemmelsen er forskellig i de forskellige sprogversioner, idet der i nogle af dem ligesom i den franske version mest sigtes til funktionaliteten (»nuttige« på nederlandsk, »úteis« på portugisisk) eller relevansen (»pertinente« på rumænsk) af de oplysninger, der skal gives, mens der i andre lægges større vægt på vigtigheden af dem (»significativa« på spansk og »istotne« på polsk). Endelig kan det anvendte udtryk i den tyske og den engelske sprogversion af bestemmelsen (henholdsvis »aussagekräftig« og »meaningful«) både forstås således, at det refererer til en god forståelighed af de nævnte oplysninger, og at det har at gøre med en vis kvalitet heraf.

Den mangfoldighed af betydninger, der er lagt til grund i de forskellige sprogversioner, må forstås således, at de betydninger, der er anført i den foregående præmis, supplerer hinanden, hvilket der skal tages hensyn til ved fortolkningen af begrebet »meningsfulde oplysninger om logikken heri« i databeskyttelsesforordningens artikel 15, stk. 1, litra h), således som generaladvokaten i det væsentlige har anført i punkt 65 i forslaget til afgørelse.

For det andet kan henvisningen i den omhandlede bestemmelse til »logikken« bag en automatisk afgørelse, som de nævnte »meningsfulde oplysninger« vedrører, henset til den generelle formulering heraf, omfatte en bred vifte af »logikker« bag det at udnytte personoplysninger og andre oplysninger med henblik på automatisk at opnå et bestemt resultat. Denne fortolkning understøttes af visse sprogversioner af bestemmelsen, der anvender udtryk, som på supplerende vis sigter til forskellige aspekter af den gængse opfattelse af begrebet »logik«. Den tjekkiske og den polske sprogversion indeholder således f.eks. henholdsvis ordene »postupu« og »zasady«, som kan oversættes med »procedure« og »principper«.

43	Det må derfor fastslås, at ordlyden af databeskyttelsesforordningens artikel 15, stk. 1, litra h), omfatter alle relevante oplysninger om proceduren og principperne for automatisk udnyttelse af personoplysninger med henblik på at opnå et bestemt resultat.

Hvad dernæst angår den sammenhæng, hvori begrebet »meningsfulde oplysninger om logikken heri« i databeskyttelsesforordningens artikel 15, stk. 1, litra h), indgår, skal det for det første fremhæves, at disse oplysninger kun er en del af dem, der er omfattet af indsigtsretten i henhold til denne artikel, idet denne ret ligeledes vedrører oplysninger om betydningen og de forventede konsekvenser af den pågældende behandling for den registrerede.

Selv om de sidstnævnte oplysninger, som ifølge retningslinjerne om automatiske individuelle afgørelser og profilering i henhold til forordning 2016/679, vedtaget den 3. oktober 2017 af den arbejdsgruppe, der er nedsat ved artikel 29 i direktiv 95/46, som revideret og vedtaget den 6. februar 2018, med henblik på at gøre dem meningsfulde og forståelige skal ledsages af »reelle, konkrete eksempler«, ikke er genstand for den forelæggende rets spørgsmål, skal der ikke desto mindre tages hensyn til dem som et element i den sammenhæng, hvori begrebet »meningsfulde oplysninger om logikken heri« indgår.

For det andet bemærkes, henset til den omstændighed, at begrebet »meningsfulde oplysninger om logikken heri« ligeledes figurerer i databeskyttelsesforordningens artikel 13, stk. 2, litra f), og artikel 14, stk. 2, litra g), at Domstolen allerede har fastslået, at i tilfælde af en automatisk afgørelse som omhandlet i forordningens artikel 22, stk. 1, udgør den ret til indsigt i sådanne oplysninger, der er fastsat i forordningens artikel 15, stk. 1, litra h), en helhed sammen med de forpligtelser til at give supplerende oplysninger, som påhviler den dataansvarlige i henhold til databeskyttelsesforordningens artikel 13, stk. 2, litra f), og artikel 14, stk. 2, litra g) (jf. i denne retning dom af 7.12.2023, SCHUFA Holding m.fl. (Scoring),C-634/21, EU:C:2023:957, præmis 56).

For det tredje skal der, som generaladvokaten i det væsentlige har anført i punkt 58-60 i forslaget til afgørelse, i forbindelse med den fortolkning ud fra sammenhængen, der skal foretages af de indsigtsrettigheder, som er fastsat i tilfælde af automatiske afgørelser, tages hensyn til Domstolens praksis vedrørende de krav, som den dataansvarlige skal opfylde i henhold til databeskyttelsesforordningens artikel 15, stk. 3.

Der skal således bl.a. tages hensyn til den omstændighed, at kravet om de videregivne oplysningers gennemsigtighed, som er fastsat i databeskyttelsesforordningens artikel 12, stk. 1, finder anvendelse på alle de data og oplysninger, der er omhandlet i artikel 15, herunder dem, der er knyttet til en automatisk afgørelse.

For at gøre det muligt for den registrerede at opnå fuld forståelse af de oplysninger, som den dataansvarlige giver vedkommende, forpligter artikel 12, stk. 1, bl.a. den dataansvarlige til at træffe passende foranstaltninger til at give den registrerede de pågældende data og oplysninger i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog (jf. i denne retning dom af 4.5.2023, Österreichische Datenschutzbehörde og CRIF, C-487/21, EU:C:2023:369, præmis 38).

Undersøgelsen af den sammenhæng, hvori databeskyttelsesforordningens artikel 15, stk. 1, litra h), indgår, understøtter således den fortolkning, der kan udledes af analysen af bestemmelsens ordlyd, hvorefter »meningsfulde oplysninger om logikken« bag en automatisk afgørelse som omhandlet i bestemmelsen omfatter alle relevante oplysninger om proceduren og principperne for automatisk udnyttelse af personoplysninger med henblik på at opnå et bestemt resultat, idet det i øvrigt følger af gennemsigtighedsforpligtelsen, at oplysningerne skal gives i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form.

Hvad endelig angår databeskyttelsesforordningens formål skal det bemærkes, at formålet med forordningen bl.a. består i at sikre et højt beskyttelsesniveau for fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger, som er fastsat i artikel 16 TEUF og sikret som en grundlæggende rettighed i chartrets artikel 8, som supplerer retten til privatliv, der er sikret ved chartrets artikel 7 (jf. i denne retning dom af 4.11.2024, Schrems (Videregivelse af oplysninger til offentligheden), C-446/21, EU:C:2024:834, præmis 45 og den deri nævnte retspraksis).

52	Databeskyttelsesforordningen har således – som det i øvrigt fremgår af 11. betragtning hertil – til formål at styrke og præcisere de registreredes rettigheder (dom af 4.5.2023, Österreichische Datenschutzbehörde og CRIF, C-487/21, EU:C:2023:369, præmis 33 og den deri nævnte retspraksis).

Hvad nærmere bestemt angår den ret til indsigt, der er fastsat i databeskyttelsesforordningens artikel 15, fremgår det af Domstolens praksis, at denne ret skal gøre det muligt for den registrerede at sikre sig, at personoplysningerne om vedkommende er korrekte, og at de behandles lovligt (dom af 4.5.2023, Österreichische Datenschutzbehörde og CRIF, C-487/21, EU:C:2023:369, præmis 34, og af 26.10.2023, FT (Kopier af patientjournal), C-307/22, EU:C:2023:811, præmis 73).

Denne ret til indsigt er nødvendig for, at den registrerede i givet fald kan udøve sin ret til berigtigelse, retten til sletning (»ret til at blive glemt«) og retten til begrænsning af behandling, der er indrømmet den registrerede i henholdsvis databeskyttelsesforordningens artikel 16, 17 og 18, og den pågældendes ret til i henhold til databeskyttelsesforordningens artikel 21 at gøre indsigelse mod behandling af sine personoplysninger samt vedkommendes adgang til at iværksætte retsmidler og ret til erstatning, jf. henholdsvis databeskyttelsesforordningens artikel 79 og 82 (jf. i denne retning dom af 4.5.2023, Österreichische Datenschutzbehörde og CRIF, C-487/21, EU:C:2023:369, præmis 35).

I den specifikke sammenhæng med vedtagelsen af en afgørelse, der udelukkende er baseret på automatisk behandling, skal det navnlig bemærkes, at hovedformålet med den registreredes ret til at få de oplysninger, der er fastsat i databeskyttelsesforordningens artikel 15, stk. 1, litra h), er at gøre det muligt for vedkommende effektivt at udøve sine rettigheder i henhold til forordningens artikel 22, stk. 3, nemlig retten til at fremkomme med sine synspunkter om afgørelsen og retten til at bestride den.

Hvis de personer, der er berørt af en automatisk afgørelse, herunder profilering, ikke var i stand til at forstå grundene til afgørelsen, inden de fremkom med deres synspunkter eller bestred afgørelsen, kunne de nævnte rettigheder nemlig ikke fuldt ud opfylde deres mål om at beskytte de pågældende personer mod de særlige risici, som automatisk behandling af deres personoplysninger udgør for deres rettigheder og frihedsrettigheder (jf. i denne retning dom af 7.12.2023, SCHUFA Holding m.fl. (Scoring), C-634/21, EU:C:2023:957, præmis 57).

I denne henseende fremgår det af 71. betragtning til databeskyttelsesforordningen, at hvis den registrerede bliver gjort til genstand for en afgørelse, som alene bygger på automatisk behandling, og som betydeligt påvirker den pågældende, bør denne have ret til at få en forklaring på afgørelsen. Som generaladvokaten har anført i punkt 67 i forslaget til afgørelse, skal det derfor fastslås, at databeskyttelsesforordningens artikel 15, stk. 1, litra h), tillægger den registrerede en egentlig ret til at få forklaret, hvordan den underliggende mekanisme bag en automatisk afgørelse, som vedkommende er genstand for, fungerer, og til at få forklaret det resultat, som afgørelsen har ført til.

Det fremgår af undersøgelsen af formålene med databeskyttelsesforordningen og navnlig med dens artikel 15, stk. 1, litra h), at retten til at få »meningsfulde oplysninger om logikken« bag en automatisk afgørelse som omhandlet i denne bestemmelse skal forstås som en ret til at få en forklaring på den procedure og de principper, der konkret er anvendt til automatisk at udnytte personoplysningerne om den registrerede med henblik på at opnå et bestemt resultat, såsom en kreditværdighedsprofil. Med henblik på at gøre det muligt for den registrerede effektivt at udøve sine rettigheder i henhold til databeskyttelsesforordningen, navnlig artikel 22, stk. 3, skal denne forklaring gives ved hjælp af relevante oplysninger og i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form.

59	Disse krav kan hverken opfyldes ved blot at fremsende en kompleks matematisk formel, såsom en algoritme, eller ved at give en detaljeret beskrivelse af alle etaper i en automatisk afgørelse, da ingen af disse metoder udgør en tilstrækkelig kortfattet og letforståelig forklaring.

Som det fremgår af s. 26 i de i denne doms præmis 45 nævnte retningslinjer om automatiske individuelle afgørelser og profilering i henhold til forordning 2016/679, bør den dataansvarlige nemlig for det første forklare den registrerede baggrunden for den automatiske afgørelse eller de kriterier, der lægges til grund for afgørelsen, på en enkel måde. For det andet skal den dataansvarlige i henhold til databeskyttelsesforordningen give relevante oplysninger om logikken bag afgørelsen »og ikke nødvendigvis give en kompliceret forklaring på de anvendte algoritmer eller lægge hele algoritmen frem«.

De »meningsfulde oplysninger om logikken« bag en automatisk afgørelse som omhandlet i databeskyttelsesforordningens artikel 15, stk. 1, litra h), skal således beskrive den procedure og de principper, der konkret er anvendt, på en sådan måde, at den registrerede kan forstå, hvilke af vedkommendes personoplysninger der blev anvendt på hvilken måde, da den pågældende automatiske afgørelse blev truffet, idet kompleksiteten af de operationer, der skal udføres i forbindelse med en automatisk afgørelse, ikke kan fritage den dataansvarlige for forklaringspligten.

Hvad særligt angår en profilering som den i hovedsagen omhandlede kan den forelæggende ret bl.a. anse det for tilstrækkelig gennemsigtigt og letforståeligt, at den registrerede informeres om, i hvilket omfang en ændring i de personoplysninger, der er taget hensyn til, ville have ført til et andet resultat.

Når dette er sagt, skal det endvidere i relation til spørgsmålet om, hvorvidt de givne oplysninger skal gøre det muligt for den registrerede at kontrollere korrektheden af de personoplysninger om vedkommende, som ligger til grund for den automatiske afgørelse, præciseres, at retten til indsigt i de nævnte oplysninger ikke fremgår af databeskyttelsesforordningens artikel 15, stk. 1, litra h), men af samme stykkes indledning, der sikrer, at den registrerede kan sikre sig, at de pågældende oplysninger er korrekte, således som det fremgår af den retspraksis, der er nævnt i denne doms præmis 53.

Hvad endelig angår det af den forelæggende ret anførte om, at de oplysninger, som D & B har givet CK i henhold til databeskyttelsesforordningens artikel 15, stk. 1, litra h), ikke svarer til virkeligheden, eftersom den »reelle« profilering førte til den konklusion, at hun ikke var kreditværdig, mens de nævnte oplysninger antydede det modsatte, skal det bemærkes, at hvis den således konstaterede manglende overensstemmelse ifølge den forelæggende ret skyldes, at D & B ikke har informeret CK om den profilering, der er foretaget af hende på vegne af den mobiltelefonivirksomhed, der på grundlag heraf har afvist at indgå eller forlænge en kontrakt med hende, bør dette afhjælpes ved hjælp af retten til indsigt i den kreditværdighedsprofil, som således er blevet udarbejdet. I denne henseende fremgår det af Domstolens praksis, at personoplysninger, som den dataansvarlige selv har genereret, er omfattet af databeskyttelsesforordningens artikel 14 (jf. i denne retning dom af 28.11.2024, Másdi, C-169/23, EU:C:2024:988, præmis 48).

En forklaring af de forskelle, der er mellem resultatet af en »reel« profilering, hvis den anses for godtgjort, og det resultat, som D & B informerede CK om, og som ifølge virksomheden var opnået ved en »tilsvarende aggregering« af dataene vedrørende CK, falder derimod ind under de »meningsfulde oplysninger om logikken« bag den således foretagne profilering. I overensstemmelse med, hvad der er anført i denne doms præmis 58, skal D & B således på en kortfattet, gennemsigtig, letforståelig og lettilgængelig måde forklare den procedure og de principper, som er anvendt til at opnå resultatet af den »reelle« profilering.

Det følger af det ovenstående, at det første og det andet spørgsmål samt det tredje spørgsmål, litra a), skal besvares med, at databeskyttelsesforordningens artikel 15, stk. 1, litra h), skal fortolkes således, at den registrerede i tilfælde af automatiske afgørelser, herunder profilering, som omhandlet i forordningens artikel 22, stk. 1, kan kræve, at den dataansvarlige som led i de »meningsfulde oplysninger om logikken heri« ved hjælp af relevante oplysninger og i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form forklarer vedkommende den procedure og de principper, der konkret er anvendt til automatisk at udnytte personoplysningerne om den registrerede med henblik på at opnå et bestemt resultat, såsom en kreditværdighedsprofil.

Det tredje spørgsmål, litra b) og c), det fjerde spørgsmål, litra a) og b), samt det femte og det sjette spørgsmål

Med det tredje spørgsmål, litra b) og c), det fjerde spørgsmål, litra a) og b), samt det femte og det sjette spørgsmål, som skal behandles samlet, ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 15, stk. 1, litra h), skal fortolkes således, at den dataansvarlige, hvis denne er af den opfattelse, at de oplysninger, der skal gives til den registrerede i henhold til denne bestemmelse, omfatter oplysninger om tredjemand, som er beskyttet i henhold til forordningen, eller forretningshemmeligheder som omhandlet i artikel 2, nr. 1), i direktiv 2016/943, er forpligtet til at videregive disse angiveligt beskyttede oplysninger til den kompetente tilsynsmyndighed eller den kompetente ret, som skal afveje de omhandlede rettigheder og interesser med henblik på at fastlægge omfanget af den registreredes indsigtsret i henhold til databeskyttelsesforordningens artikel 15.

Det skal i denne henseende bemærkes, at det fremgår af fjerde betragtning til databeskyttelsesforordningen, at retten til beskyttelse af personoplysninger ikke er en absolut ret og skal afvejes i forhold til andre grundlæggende rettigheder i overensstemmelse med proportionalitetsprincippet. Databeskyttelsesforordningen overholder således alle de grundlæggende rettigheder og følger de frihedsrettigheder og principper, der anerkendes i chartret, og som er forankret i traktaterne (dom af 26.10.2023, FT (Kopier af patientjournal), C-307/22, EU:C:2023:811, præmis 59 og den deri nævnte retspraksis).

Endvidere hedder det i 63. betragtning til forordningen, at retten for enhver registreret til indsigt i de personoplysninger, der er indsamlet om vedkommende, ikke bør krænke andres rettigheder eller frihedsrettigheder, herunder forretningshemmeligheder eller intellektuel ejendomsret, navnlig den ophavsret, som programmerne er beskyttet af.

Denne vurdering bør dog ikke resultere i en afvisning af at give al information til den registrerede. Det bestemmes således i forordningens artikel 23, stk. 1, litra i), i det væsentlige, at det kun er muligt at begrænse rækkevidden af de forpligtelser og rettigheder, der er omhandlet i bl.a. forordningens artikel 15, hvis en sådan begrænsning respekterer det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og er en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund af hensyn til beskyttelse af andres rettigheder og frihedsrettigheder.

Med hensyn til den beslægtede ret til at modtage en kopi, der er fastsat i databeskyttelsesforordningens artikel 15, stk. 4, har Domstolen allerede fastslået, at anvendelsen heraf ikke må krænke andres rettigheder og frihedsrettigheder, herunder forretningshemmeligheder eller intellektuel ejendomsret, navnlig den ophavsret, som programmerne er beskyttet af (jf. i denne retning dom af 4.5.2023, Österreichische Datenschutzbehörde og CRIF, C-487/21, EU:C:2023:369, præmis 43).

Domstolen bemærkede i denne forbindelse, at det i tilfælde af konflikt mellem udøvelsen af en fuld og uindskrænket ret til indsigt i personoplysninger og andres rettigheder eller frihedsrettigheder er nødvendigt at foretage en afvejning af de pågældende rettigheder. Hvis det er muligt, skal der vælges måder for udlevering af personoplysningerne, som ikke krænker andres rettigheder eller frihedsrettigheder, under hensyntagen til – sådan som det fremgår af 63. betragtning til databeskyttelsesforordningen – at disse vurderinger ikke må »resultere i en afvisning af at give al information til den registrerede« (dom af 4.5.2023, Österreichische Datenschutzbehörde og CRIF, C-487/21, EU:C:2023:369, præmis 44).

Hvad angår spørgsmålet om, hvordan den indsigtsret, der er fastsat i databeskyttelsesforordningens artikel 15, stk. 1, litra h), kan gennemføres på en sådan måde, at andres rettigheder og frihedsrettigheder respekteres, skal det bemærkes, at det fremgår af retspraksis, at en national retsinstans kan vurdere, at parternes eller tredjemands personoplysninger skal fremlægges for den, således at den med fuldt kendskab til omstændighederne og under overholdelse af proportionalitetsprincippet kan afveje de foreliggende interesser. Denne vurdering kan i givet fald føre til, at den nationale retsinstans beslutter helt eller delvist at videregive de personoplysninger, der er blevet fremlagt for den, til modparten, hvis den finder, at en sådan udlevering ikke går ud over, hvad der er nødvendigt for at sikre den effektive udøvelse af de rettigheder, som tilkommer borgerne i henhold til chartrets artikel 47 (dom af 2.3.2023, Norra Stockholm Bygg,C-268/21, EU:C:2023:145, præmis 58).

Som generaladvokaten har anført i punkt 94 i forslaget til afgørelse, kan denne retspraksis fuldt ud overføres på det tilfælde, hvor de oplysninger, som skal gives til den registrerede i medfør af den indsigtsret, der er sikret ved databeskyttelsesforordningens artikel 15, stk. 1, litra h), kan medføre en krænkelse af andres rettigheder og frihedsrettigheder, bl.a. fordi de indeholder personoplysninger om tredjemand, som er beskyttet ved den nævnte forordning, eller en forretningshemmelighed som omhandlet i artikel 2, nr. 1), i direktiv 2016/943. I dette tilfælde skal de nævnte oplysninger også videregives til den kompetente tilsynsmyndighed eller den kompetente ret, som skal afveje de omhandlede rettigheder og interesser med henblik på at fastlægge omfanget af den registreredes ret til indsigt i personoplysninger vedrørende den pågældende.

Da dette skal fastlægges fra sag til sag, er databeskyttelsesforordningens artikel 15, stk. 1, litra h), bl.a. til hinder for anvendelsen af en bestemmelse som databeskyttelseslovens § 4, stk. 6, hvorefter den registrerede i princippet ikke har indsigtsret i henhold til databeskyttelsesforordningens artikel 15, hvis videregivelse af de pågældende oplysninger ville udgøre en trussel mod en forretningshemmelighed hos den dataansvarlige eller andre. Det skal i denne forbindelse bemærkes, at en medlemsstat ikke definitivt kan foreskrive resultatet af en afvejning fra sag til sag af de omhandlede rettigheder og interesser, der skal foretages i henhold til EU-retten (jf. i denne retning dom af 7.12.2023, SCHUFA Holding m.fl. (Scoring),C-634/21, EU:C:2023:957, præmis 70, og den deri nævnte retspraksis).

Henset til samtlige ovenstående betragtninger skal det tredje spørgsmål, litra b) og c), det fjerde spørgsmål, litra a) og b), samt det femte og det sjette spørgsmål besvares med, at databeskyttelsesforordningens artikel 15, stk. 1, litra h), skal fortolkes således, at den dataansvarlige, hvis denne er af den opfattelse, at de oplysninger, der skal gives til den registrerede i henhold til denne bestemmelse, omfatter oplysninger om tredjemand, som er beskyttet i henhold til forordningen, eller forretningshemmeligheder som omhandlet i artikel 2, nr. 1), i direktiv 2016/943, er forpligtet til at videregive disse angiveligt beskyttede oplysninger til den kompetente tilsynsmyndighed eller den kompetente ret, som skal afveje de omhandlede rettigheder og interesser med henblik på at fastlægge omfanget af den registreredes indsigtsret i henhold til databeskyttelsesforordningens artikel 15.

Sagsomkostninger

Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Første Afdeling) for ret:

Artikel 15, stk. 1, litra h), i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)

skal fortolkes således, at

den registrerede i tilfælde af automatiske afgørelser, herunder profilering, som omhandlet i forordningens artikel 22, stk. 1, kan kræve, at den dataansvarlige som led i de »meningsfulde oplysninger om logikken heri« ved hjælp af relevante oplysninger og i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form forklarer vedkommende den procedure og de principper, der konkret er anvendt til automatisk at udnytte personoplysningerne om den registrerede med henblik på at opnå et bestemt resultat, såsom en kreditværdighedsprofil.

Artikel 15, stk. 1, litra h), i forordning 2016/679

skal fortolkes således, at

den dataansvarlige, hvis denne er af den opfattelse, at de oplysninger, der skal gives til den registrerede i henhold til denne bestemmelse, omfatter oplysninger om tredjemand, som er beskyttet i henhold til forordningen, eller forretningshemmeligheder som omhandlet i artikel 2, nr. 1), i Europa-Parlamentets og Rådets direktiv (EU) 2016/943 af 8. juni 2016 om beskyttelse af fortrolig knowhow og fortrolige forretningsoplysninger (forretningshemmeligheder) mod ulovlig erhvervelse, brug og videregivelse, er forpligtet til at videregive disse angiveligt beskyttede oplysninger til den kompetente tilsynsmyndighed eller den kompetente ret, som skal afveje de omhandlede rettigheder og interesser med henblik på at fastlægge omfanget af den registreredes indsigtsret i henhold til forordningens artikel 15.

Underskrifter

( *1 ) – Processprog: tysk.