I.

Įvadas

1.

Šis prašymas priimti prejudicinį sprendimą pateiktas dėl 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) ( 2 ) (toliau – BDAR) 15 straipsnio 1 dalies h punkto ir 4 dalies bei 22 straipsnio ir, antra, 2016 m. birželio 8 d. Europos Parlamento ir Tarybos direktyvos (ES) 2016/943 dėl neatskleistos praktinės patirties ir verslo informacijos (komercinių paslapčių) apsaugos nuo neteisėto jų gavimo, naudojimo ir atskleidimo ( 3 ) 2 straipsnio 1 punkto išaiškinimo.

2.

Šis prašymas pateiktas nagrinėjant CK ir Magistrat der Stadt Wien (Vienos miesto savivaldybė, Austrija) ginčą dėl prašymo vykdyti teismo nutartį, kuria kreditingumo vertinimo įmonė buvo įpareigota pateikti CK prasmingą informaciją apie jos asmens duomenų profiliavimo loginį pagrindimą.

3.

Toliau tiksliau paaiškinsiu, kaip, mano manymu, reikia suprasti sąvoką „prasminga informacija apie [automatizuoto sprendimo priėmimo] loginį pagrindimą“ pagal BDAR 15 straipsnio 1 dalies h punktą, ir kaip teisė gauti tokią informaciją turi būti derinama su kitų asmenų teisių ir laisvių apsauga, pavyzdžiui, komercine paslaptimi.

II.

Pagrindinės bylos faktinės aplinkybės ir prejudiciniai klausimai

4.

Mobiliojo ryšio operatorius atsisakė sudaryti arba pratęsti mobiliojo ryšio sutartį su CK, pagal kurią būtų reikėję mokėti 10 eurų mėnesinę įmoką, motyvuodamas nepakankamu jos mokumu. Tariamai nepakankamas CK mokumas buvo grindžiamas jos kreditingumo vertinimu, kurį bendrovė Bisnode Austria GmbH (dabar – Dun & Bradstreet Austria GmbH, toliau – D & B), specializuota kreditingumo vertinimo srities įmonė, atliko automatizuotai.

5.

CK pateikė prašymą Austrijos duomenų apsaugos institucijai suteikti prasmingą informaciją apie D & B automatizuoto sprendimų priėmimo loginį pagrindimą. Ši institucija prašymą patenkino.

6.

D & B apskundė Austrijos duomenų apsaugos institucijos sprendimą, kuriuo ji buvo įpareigota pateikti CK prašomą informaciją, Bundesverwaltungsgericht (Federalinis administracinis teismas, Austrija).

7.

2019 m. spalio 23 d. sprendimu šis teismas iš dalies patvirtino šį Austrijos duomenų apsaugos institucijos sprendimą. Taigi jis nustatė, kad D & B pažeidė CK teisę susipažinti su duomenimis pagal BDAR 15 straipsnio 1 dalies h punktą, nes nesuteikė jai prasmingos informacijos apie automatizuoto su CK asmens duomenimis susijusio sprendimo priėmimo loginį pagrindimą arba bent jau pakankamai nepagrindė, kodėl negalėjo suteikti šios informacijos.

8.

Šis Bundesverwaltungsgericht (Federalinis administracinis teismas) sprendimas yra galutinis ir vykdytinas pagal Austrijos teisę.

9.

Vis dėlto vykdančioji institucija, Vienos savivaldybė, atmetė CK prašymą vykdyti šį sprendimą, motyvuodama tuo, kad D & B jau buvo pakankamai įvykdžiusi savo pareigą suteikti informaciją.

10.

CK apskundė šį sprendimą Verwaltungsgericht Wien (Vienos administracinis teismas, Austrija), prašymą priimti prejudicinį sprendimą pateikusiam teismui. Šis teismas nurodo, kad nagrinėdamas šį skundą privalo vietoj vykdymo institucijos priimti sprendimą dėl Bundesverwaltungsgericht (Federalinis administracinis teismas) sprendimo vykdymo. Vadinasi, prašymą priimti prejudicinį sprendimą pateikęs teismas turi konkrečiai nustatyti, kokią informaciją D & B privalo perduoti CK ( 4 ).

11.

Šiuo požiūriu šis teismas laikosi nuomonės, kad pagal BDAR 15 straipsnio 1 dalies h punktą duomenų subjektui suteikiama teisė gauti tikslią informaciją. Šiuo klausimu minėtas teismas pažymi, kad yra aiškių požymių, jog iki šiol D & B pateikta informacija, kurios buvo labai nedaug, prieštarauja faktams. Nors pagal CK suteiktą informaciją jos kreditingumas yra itin aukštas, pagal faktinį profiliavimą ji buvo pripažinta de facto visiškai nemokia, net neturinčia finansinės galimybės kas mėnesį mokėti 10 EUR sumą. Taigi esama aiškaus prieštaravimo tarp, pirma, CK suteiktos informacijos apie tvarkomus jos asmens duomenis ir automatizuoto vertinimo loginio pagrindimo, ir, antra, mobiliojo ryšio operatoriaus išvados, padarytos remiantis faktiškai nustatytu reitingu. Šis prieštaravimas verčia abejoti informacijos, kuri iki šiol buvo suteikta CK, tikslumu.

12.

Remdamasis šia išvada, prašymą priimti prejudicinį sprendimą pateikęs teismas nurodė, kad tuo atveju, kai duomenų subjektas yra profiliuojamas, jis gali ginti teisę gauti tikslią informaciją tik tuo atveju, jei pagal BDAR 15 straipsnio 1 dalies h punktą jam suteikiama pakankamai plati teisė susipažinti su informacija, kad jis galėtų patikrinti pateikto įvertinimo nuoseklumą ir suprantamumą, taip pat išsiaiškinti, ar vidiniu loginiu pagrindimu, apie kurį jam buvo pranešta įgyvendinant jo teisę susipažinti su informacija, iš tikrųjų buvo remiamasi atliekant jam taikytą profiliavimą. Trumpai tariant, duomenų subjektas turėtų turėti galimybę gauti pakankamai išsamią informaciją apie tvarkomus asmens duomenis ir automatizuoto sprendimų priėmimo vidinį loginį pagrindimą, kad galėtų suprasti pastarąjį procesą ir patikrinti jo tikslumą.

13.

Šio teismo nuomone, taikant tokį BDAR 15 straipsnio 1 dalies h punkto aiškinimą galima užtikrinti šios nuostatos veiksmingumą, nes užkertamas kelias duomenų valdytojui perduoti neteisingą informaciją. Be to, pagal minėtą aiškinimą duomenų subjektas turi teisę pasinaudoti šio reglamento 22 straipsnio 3 dalimi jam suteiktomis teisėmis, visų pirma teise pareikšti savo nuomonę dėl automatizuoto individualaus sprendimo ir teise užginčyti šio sprendimo nuoseklumą bei tikslumą.

14.

Minėtas teismas pabrėžia, kad reikalavimas duomenų subjektui turėti galimybę patikrinti pateiktos informacijos nuoseklumą ir tikslumą pagal BDAR 15 straipsnio 1 dalies h punktą turi svarbių pasekmių siekiant atsakyti į klausimą, kokiu mastu ir kaip išsamiai duomenų valdytojas turi atskleisti informaciją pagal šią nuostatą.

15.

Pagrindinėje byloje prašymą priimti prejudicinį sprendimą pateikęs teismas paskyrė ekspertą, siekdamas konkrečiai nustatyti, kokią informaciją D & B turi pateikti CK pagal Bundesverwaltungsgericht (Federalinis administracinis teismas) sprendimą.

16.

Paskirtojo eksperto teigimu, kad būtų galima sukonkretinti įpareigojimą imtis veiksmų, užtikrinti automatizuoto sprendimų priėmimo suprantamumą ir patikrinti pateiktos informacijos tikslumą bei nuoseklumą, duomenų subjektas, remdamasis jam pagal BDAR 15 straipsnio 1 dalies h punktą garantuojama teise susipažinti su duomenimis, turėtų pakankamai išsamiai ir pagrįstai gauti šią minimalią informaciją:

–

pirma, kokie duomenų subjekto asmens duomenys yra tvarkomi, nustatant veiksnius, koks būdas pasirinktas jiems tvarkyti, nurodant, ar tie duomenys buvo svertiniai,

–

antra, pagrindinės algoritmo, kuriuo grindžiamas automatizuotas sprendimų priėmimas, dalys, kurios bet kuriuo atveju apima: matematinę formulę, į kurią skaitinių verčių pavidalu gali būti įtraukta visa informacija, susijusi su kreditingumo reitingo apskaičiavimu, kad pagal šią formulę būtų gautas šis reitingas, ir suprantamą visų toje formulėje naudojamų verčių, ypač tų, kurios nėra tiesiogiai gautos iš saugomos informacijos apie duomenų subjektą, paaiškinimą,

–

trečia, atitinkamą informaciją, leidžiančią nustatyti ryšį tarp apdorotos informacijos ir atlikto vertinimo, kuri visų pirma apima visų šioje formulėje naudojamų verčių vertinimo funkcijų nurodymą ir tinkamą aprašymą; informacijos, reikalingos informacijos ryšiui tarp informacijos ir vertinimo nustatyti, pateikimą intervalinio vertinimo atveju, taip pat naudojamų kadastrinių arba indekso funkcijų pateikimą.

17.

Iš eksperto išvados matyti, kad tik pateikus matematinę formulę ir visų toje formulėje naudojamų reikšmių vertinimo funkcijas CK galėtų suprasti, koks profiliavimas jai taikytas, todėl tik remdamasi šia informacija ji galėtų pasinaudoti BDAR 22 straipsnio 3 dalimi jai suteiktomis teisėmis pareikšti savo nuomonę ir užginčyti automatizuotu duomenų tvarkymu grindžiamą sprendimą.

18.

Šioje ataskaitoje nurodyta, jog tam, kad būtų galima patikrinti pateiktos minimalios informacijos tikslumą, D & B taip pat turėtų parengti ir pateikti gana išsamų ir pagrįstą sąrašą, kuris taptų palyginimo pagrindu ir kuriame būtų pateikta visa informacija apie bent 25 atvejus, kai panašus neanoniminis profiliavimas buvo atliktas tuo pačiu metu kaip ir profiliavimas, kurio subjektas buvo CK, ir kurie buvo nustatyti taikant tą pačią skaičiavimo taisyklę.

19.

Pastaruoju aspektu prašymą priimti prejudicinį sprendimą pateikęs teismas nurodo, kad tokios informacijos perdavimas gali turėti įtakos teisėms į asmens duomenų apsaugą, vertinamoms atliekant profiliavimą, kuriuo remiamasi atliekant palyginimą.

20.

Taigi šiam teismui, visų pirma atsižvelgiant į tai, kas numatyta Direktyvos 2016/943 9 straipsnyje, kyla klausimas, ar įvairių susijusių interesų konfliktas galėtų būti išspręstas, jei trečiųjų asmenų asmens duomenys, būtini siekiant patikrinti perduotos minimalios informacijos tikslumą, būtų perduodami tik kompetentingai institucijai arba teismui, kurie vėliau savarankiškai patikrintų, ar šie trečiųjų asmenų duomenys atitinka faktus.

21.

Prašymą priimti prejudicinį sprendimą pateikęs teismas taip pat pažymi, kad pagal Oberster Gerichtshof (Aukščiausiasis Teismas, Austrija) jurisprudenciją ir vyraujančią doktriną profiliuoti naudojamas algoritmas yra komercinė paslaptis, kaip tai suprantama pagal Direktyvą 2016/943. Šiuo atžvilgiu prašymą priimti prejudicinį sprendimą pateikęs teismas nurodė, kad atsisakydama pateikti pakankamai informacijos apie logiką, kuria grindžiamas automatizuotas sprendimų priėmimas, D & B rėmėsi komercinės paslapties, kurią reikia saugoti, egzistavimu, susijusiu su algoritmu, kuriuo grindžiamas duomenų tvarkymas. Šis teismas vėlgi siekia išsiaiškinti, ar duomenų subjekto ir duomenų valdytojo interesų konfliktas galėtų būti išspręstas, jei informacija, klasifikuojama kaip komercinė paslaptis, kaip tai suprantama pagal Direktyvos 2016/943 2 straipsnio 1 dalį, būtų atskleista tik kompetentingai institucijai arba teismui, kurie savarankiškai patikrintų, ar tokia klasifikacija gali būti išsaugota ir ar duomenų valdytojo pagal BDAR 15 straipsnio 1 dalies h punktą suteikta informacija atitinka tikrovę.

22.

Vis dėlto prašymą priimti prejudicinį sprendimą pateikęs teismas pažymi, kad šis įvairių susijusių interesų konfliktų sprendimo būdas turi trūkumų, nes duomenų subjektas negauna išsamios informacijos, o dėl to pastarąja nuostata garantuojama teisė susipažinti su dokumentais apribojama ar net tampa neįmanoma. Tai gali sutrukdyti šiam subjektui patikrinti, ar duomenų valdytojo pateikta informacija yra suprantama ir tiksli, ir pasinaudoti teisėmis, kurios jam garantuojamos, be kita ko, pagal BDAR 22 straipsnio 3 dalį ir Europos Sąjungos pagrindinių teisių chartijos ( 5 ) 47 straipsnį.

23.

Lygindamas asmens, prašančio suteikti teisę susipažinti su įrašu, ir duomenų valdytojo interesus šis teismas taip pat siekia, visų pirma atsižvelgdamas į tai, kas numatyta 1999 m. rugpjūčio 17 d. Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Federalinis įstatymas dėl fizinių asmenų apsaugos tvarkant jų asmens duomenis) ( 6 ) redakcijos, taikytinos pagrindinėje byloje ( 7 ) (toliau – DSG) 4 straipsnio 6 dalyje, BDAR 15 straipsnio 4 dalį ir 23 straipsnio 1 dalies i punktą aiškinti atsižvelgiant į šio reglamento 63 konstatuojamąją dalį.

24.

Šiomis aplinkybėmis Verwaltungsgericht Wien (Vienos administracinis teismas) nutarė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šiuos prejudicinius klausimus:

25.

Rašytines pastabas pateikė CK, D & B, Ispanijos, Nyderlandų bei Lenkijos vyriausybės ir Europos Komisija.

III.

Analizė

A.

Pirminės pastabos

26.

Pagal BDAR 22 straipsnio 1 dalį „duomenų subjektas turi teisę, kad jam nebūtų taikomas tik automatizuotu duomenų tvarkymu, įskaitant profiliavimą, grindžiamas sprendimas, dėl kurio jam kyla teisinės pasekmės arba kuris jam panašiu būdu daro didelį poveikį“ ( 8 ). Vis dėlto taip suformuluotas draudimas netaikomas šio reglamento 22 straipsnio 2 dalyje išvardytiems atvejams, prie kurių grįšiu vėliau.

27.

2023 m. gruodžio 7 d. Sprendime SCHUFA Holding ir kt. (Scoring) ( 9 ) Teisingumo Teismas nusprendė: BDAR 22 straipsnio 1 dalis turi būti aiškinama taip, kad komercinę informaciją teikiančios bendrovės atliekamas automatizuotas tikimybės rodiklio, pagrįsto asmens duomenimis, kurie susiję su asmeniu ir jo pajėgumu ateityje įvykdyti mokėjimo įsipareigojimus, nustatymas yra „automatizuotas atskiras sprendimas“, kaip jis suprantamas pagal šią nuostatą, kai nuo šio tikimybės rodiklio iš esmės priklauso tai, ar trečioji šalis, kuriai pranešama apie minėtą tikimybės rodiklį, pradės, vykdys ar nutrauks sutartinius santykius su šiuo asmeniu ( 10 ).

28.

Po šio sprendimo Teisingumo Teismas pasiteiravo prašymą priimti prejudicinį sprendimą pateikusio teismo, ar jis pageidauja palikti galioti savo prašymą priimti prejudicinį sprendimą, ir jis į šį klausimą atsakė teigiamai. Iš esmės jis laikėsi nuomonės, kad minėtame sprendime nebuvo atsakyta į jo klausimus, susijusius, be kita ko, su tuo, kaip reikėtų spręsti prieštarą tarp duomenų subjekto teisės į jo asmens duomenų apsaugą ir duomenų valdytojo intereso apsaugoti komercines paslaptis. Be to, tame pačiame sprendime neatsakyta į klausimą dėl automatizuoto sprendimų priėmimo atveju reikalaujamos „prasmingos informacija apie loginį jo pagrindimą“, kaip tai suprantama pagal BDAR 15 straipsnio 1 dalies h punktą, išsamumo lygio.

29.

Taigi šioje byloje Teisingumo Teismas bus priverstas papildyti savo Sprendimą SCHUFA Holding ir kt. (Scoring) ( 11 ), patikslindamas šia nuostata garantuojamos teisės susipažinti su duomenimis apimtį.

30.

Prašymą priimti prejudicinį sprendimą pateikęs teismas turi nustatyti informacijos, kurią D & B turi pateikti, kad įvykdytų šios nuostatos reikalavimus, apimtį ir išsamumą.

31.

Atsižvelgdamas į tai, šis teismas prašo Teisingumo Teismo padėti atsakyti į šiuos teisinius klausimus.

32.

Visų pirma, kaip reikia suprasti sąvoką „prasminga informacija apie automatizuoto sprendimo priėmimo loginį pagrindimą“ pagal BDAR 15 straipsnio 1 dalies h punktą? Ar tokia informacija apima šiam sprendimui priimti naudotą algoritmą? Kokiu mastu ir kiek konkrečiai galima reikalauti, kad duomenų valdytojas pateiktų pakankamai informacijos, kad duomenų subjektas galėtų patikrinti tos informacijos tikslumą ir jos suderinamumą su atitinkamu sprendimu dėl reitingo?

33.

Antra, kokiu mastu kitų asmenų teisių ir laisvių apsauga, ypač komercinės paslapties apsauga, gali turėti įtakos duomenų valdytojo pareigai pateikti „prasmingą informaciją apie automatizuoto sprendimo priėmimo loginį pagrindimą“, kaip tai suprantama pagal BDAR 15 straipsnio 1 dalies h punktą? Kokiais mechanizmais, jei tokių yra, būtų galima išspręsti duomenų subjekto teisių ir duomenų valdytojo interesų konfliktą?

34.

Išvadoje, kurią pateikė byloje, kurioje priimtas Sprendimas SCHUFA Holding ir kt. (Scoring) ( 12 ), generalinis advokatas P. Pikamäe išreiškė poziciją dėl pagrindinių šių klausimų aspektų. Jis išreiškė nuomonę, kad BDAR 15 straipsnio 1 dalies h punktas, siejamas su šio reglamento 63 konstatuojamąja dalimi, turi būti aiškinamas taip, kad „iš esmės apima ir apskaičiavimo metodą, kreditingumo vertinimo bendrovės naudojamą kreditingumo įvertinimui balais nustatyti, jei nėra jokių priešingų interesų, kuriuos reikėtų apsaugoti“ ( 13 ).

35.

Siekdamas užtikrinti tinkamą skirtingų teisių ir interesų pusiausvyrą, Sąjungos teisės aktų leidėjas norėjo užtikrinti, kad „bet kuriuo atveju [būtų] suteikta minimali informacija, kad nebūtų pakenkta esminiam teisės į asmens duomenų apsaugą turiniui“ ( 14 ). Todėl, generalinio advokato P. Pikamäe teigimu, tai reiškia, kad „nors komercinės paslapties ar intelektinės nuosavybės paslapties apsauga iš esmės yra teisėta priežastis atsisakyti atskleisti algoritmą, naudotą apskaičiuojant duomenų subjekto kreditingumo balą, ji negali pateisinti absoliutaus atsisakymo suteikti informaciją“ ( 15 ).

36.

Atsižvelgdamas į BDAR 12 straipsnio 1 dalį, pagal kurią „[d]uomenų valdytojas imasi tinkamų priemonių, kad visą <…> informaciją <…> pagal [15 straipsnį] <…> duomenų subjektui pateiktų glausta, skaidria, suprantama ir lengvai prieinama forma, aiškia ir paprasta kalba“ ( 16 ), taip pat į šio reglamento 58 konstatuojamąją dalį, generalinis advokatas P. Pikamäe nusprendė, kad „tikrasis BDAR 15 straipsnio 1 dalies h punkto tikslas – užtikrinti, kad duomenų subjektas gautų informaciją suprantamu ir prieinamu būdu, atitinkančiu jo poreikius“ ( 17 ). Jo nuomone, „šie reikalavimai neapima galimos pareigos atskleisti algoritmą, atsižvelgiant į jo sudėtingumą. Iš tiesų abejotina, ar, nepateikus būtinų paaiškinimų, būtų tikslinga pateikti ypač sudėtingą formulę“ ( 18 ).

37.

Atsižvelgdamas į šiuos aspektus, generalinis advokatas P. Pikamäe padarė išvadą, kad pareiga pateikti „prasmingą informaciją apie loginį pagrindimą“ turėtų būti suprantama kaip apimanti pakankamai išsamius paaiškinimus apie metodą, naudotą kreditingumo įvertinimo balui apskaičiuoti, ir priežastis, lėmusias konkretų rezultatą. Apskritai duomenų valdytojas turėtų pateikti duomenų subjektui bendrą informaciją, visų pirma apie veiksnius, į kuriuos buvo atsižvelgta priimant sprendimą, ir jų atitinkamą svarbą apibendrintu lygmeniu, kuri jam taip pat naudinga ginčijant bet kokį „sprendimą“, kaip jis suprantamas pagal BDAR 22 straipsnio 1 dalį ( 19 ).

38.

Kaip išsamiau paaiškinsiu tolesnėse pastraipose, iš esmės sutinku su generalinio advokato P. Pikamäe pasiūlytu aiškinimu ( 20 ).

B.

Dėl prejudicinių klausimų

39.

Savo klausimais, kuriuos siūlau nagrinėti kartu, prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės klausia Teisingumo Teismo, ar, pirma, BDAR 15 straipsnio 1 dalies h punktas turi būti aiškinamas taip, kad „prasminga informacija apie loginį automatizuoto sprendimo pagrindimą“, apima informaciją, kuri yra pakankamai išsami, kad duomenų subjektas galėtų patikrinti šios informacijos tikslumą ir jos suderinamumą su nagrinėjamu sprendimu dėl reitingo, įskaitant šiam automatizuotam sprendimui priimti naudotą algoritmą. Antra, šis teismas siekia išsiaiškinti, ar kitų asmenų teisių ir laisvių apsauga, kaip antai komercinės paslapties apsauga, kuria remiasi duomenų valdytojas, gali lemti teisės susipažinti su duomenimis, kurią duomenų subjektas turi pagal šią nuostatą, apimties apribojimą, o jei taip, tai kokiu mastu.

1.

Dėl sąvokos „prasminga informacija apie loginį automatizuoto sprendimo pagrindimą“

40.

Iš pradžių reikėtų pažymėti, kad Teisingumo Teismas, neseniai priimdamas sprendimą dėl teisės gauti tvarkomų asmens duomenų kopiją, t. y. teisės, numatytos BDAR 15 straipsnio 3 dalies pirmame sakinyje, apimties, pabrėžė keletą šiame straipsnyje numatytos teisės susipažinti su duomenimis ypatumų. Manau, kad šie elementai yra naudingi atsakant į prašymą priimti prejudicinį sprendimą pateikusio teismo pateiktus klausimus.

41.

BDAR 15 straipsnio „Duomenų subjekto teisė susipažinti su duomenimis“ 1 dalyje apibrėžtas duomenų subjektui suteiktos teisės susipažinti su duomenimis dalykas ir taikymo sritis bei įtvirtinta duomenų subjekto teisė iš duomenų valdytojo gauti prieigą prie savo asmens duomenų ir šios dalies a–h punktuose nurodytą informaciją.

42.

Užtikrinant tokią teisę siekiama BDAR tikslų, t. y. kaip nurodyta jo 10 ir 11 konstatuojamosiose dalyse, užtikrinti vienodo ir aukšto lygio fizinių asmenų apsaugą Europos Sąjungoje bei sustiprinti ir išsamiai nustatyti duomenų subjektų teises ( 21 ).

43.

BDAR 15 straipsnio 1 dalies h punkte konkrečiai nustatyta, kad duomenų subjektas turi teisę būti duomenų valdytojo informuotas apie tai, kad esama automatizuoto sprendimų priėmimo, įskaitant profiliavimą ( 22 ), numatyto šio reglamento 22 straipsnio 1 ir 4 dalyse, ir bent jau tokiais atvejais gauti prasmingos informacijos apie loginį jo pagrindimą ( 23 ) ir duomenų tvarkymo reikšmę bei numatomas pasekmes duomenų subjektui ( 24 ).

44.

Apskritai iš Teisingumo Teismo jurisprudencijos matyti, kad BDAR 15 straipsnyje numatyta teisė susipažinti su duomenimis turi suteikti duomenų subjektui galimybę įsitikinti, kad jo asmens duomenys yra tikslūs ir tvarkomi teisėtai ( 25 ).

45.

Be to, tvarkomų asmens duomenų kopija, kurią duomenų valdytojas privalo pateikti pagal BDAR 15 straipsnio 3 dalies pirmą sakinį, turi atitikti visus požymius, leidžiančius duomenų subjektui veiksmingai įgyvendinti savo teises pagal šį reglamentą, todėl joje turi būti visiškai ir tiksliai atgaminti šie duomenys ( 26 ).

46.

Konkrečiai kalbant, ši teisė susipažinti su duomenimis yra būtina tam, kad duomenų subjektas prireikus galėtų pasinaudoti teise ištaisyti duomenis, teise ištrinti duomenis („teisė būti pamirštam“) ir teise apriboti duomenų tvarkymą, kurios jam suteiktos atitinkamai pagal BDAR 16, 17 ir 18 straipsnius, taip pat BDAR 21 straipsnyje numatyta teise nesutikti, kad jo asmens duomenys būtų tvarkomi, ir BDAR 79 ir 82 straipsniuose numatyta teise pareikšti ieškinį, kai patiriama žalos ( 27 ).

47.

Dėl duomenų subjekto teisės gauti 15 straipsnio 1 dalies h punkte numatytą informaciją norėčiau pridurti, kad dėl šios teisės jam turi būti suteikta galimybė pasinaudoti teisėmis, kurios jam suteiktos pagal BDAR 22 straipsnį, kuris konkrečiai susijęs su situacija, kai duomenų subjekto atžvilgiu priimtas automatizuotu duomenų tvarkymu grindžiamas sprendimas.

48.

Taigi, kaip jau nurodžiau prieš tai, pagal šio reglamento 22 straipsnio 1 dalį duomenų subjektas turi teisę, kad jam nebūtų taikomas tik automatizuotu duomenų tvarkymu, įskaitant profiliavimą, grindžiamas sprendimas, dėl kurio jam kyla teisinės pasekmės arba kuris jam panašiu būdu daro didelį poveikį ( 28 ). Vis dėlto taip suformuluotas draudimas netaikomas minėto reglamento 22 straipsnio 2 dalyje nurodytais atvejais, t. y. kai toks sprendimas yra būtinas duomenų subjekto ir duomenų valdytojo sutarčiai sudaryti arba ją vykdyti (a punktas), kai tai leidžiama pagal Sąjungos arba valstybės narės teisę, kuri taikoma duomenų valdytojui (b punktas), arba kai jis pagrįstas aiškiu duomenų subjekto sutikimu (c punktas).

49.

Be to, BDAR 22 straipsnio 2 dalies b punkte ir 3 dalyje numatyta, kad turi būti nustatomos tinkamos priemonės duomenų subjekto teisėms bei laisvėms ir teisėtiems interesams apsaugoti. Šio reglamento 22 straipsnio 2 dalies a ir c punktuose nurodytais atvejais duomenų valdytojas įgyvendina bent jau duomenų subjekto teisę reikalauti žmogaus įsikišimo, pareikšti savo požiūrį ir užginčyti sprendimą ( 29 ). Nagrinėjamoje byloje prašymą priimti prejudicinį sprendimą pateikęs teismas atkreipia dėmesį į ryšį tarp minėto reglamento 15 straipsnio 1 dalies h punkte numatytos teisės susipažinti su duomenimis ir šių duomenų subjekto teisių pareikšti savo požiūrį ir užginčyti automatizuotą sprendimą.

50.

Teisingumo Teismo teigimu, griežtesni reikalavimai dėl automatizuoto sprendimų priėmimo teisėtumo, taip pat papildomos duomenų valdytojo pareigos informuoti ir su tuo susijusios papildomos duomenų subjekto teisės susipažinti su duomenimis paaiškinami šio reglamento 22 straipsniu siekiamu tikslu apsaugoti asmenis nuo konkretaus pavojaus jų teisėms ir laisvėms, kurį kelia automatizuotas asmens duomenų tvarkymas, įskaitant profiliavimą ( 30 ).

51.

Vadinasi, siekiant nustatyti, kas pagal BDAR 15 straipsnio 1 dalies h punktą suprantama kaip „prasminga informacija apie loginį automatizuoto sprendimo pagrindimą“, reikia atsižvelgti į šio reglamento 22 straipsniu siekiamą tikslą, kad duomenų subjektas, remdamasis šia informacija, galėtų veiksmingai pasinaudoti pagal pastarąjį straipsnį jam suteiktomis teisėmis.

52.

Šiuo klausimu reikia atkreipti dėmesį į tai, kad, pagal skaidrumo principą, į kurį daroma nuoroda BDAR 58 konstatuojamojoje dalyje ir kuris aiškiai įtvirtintas šio reglamento 12 straipsnio 1 dalyje, visa duomenų subjektui skirta informacija turi būti glausta, lengvai prieinama ir suprantama, pateikiama aiškia ir paprasta kalba ( 31 ).

53.

Taigi Teisingumo Teismas iš šios nuostatos padarė išvadą, kad duomenų valdytojas privalo imtis tinkamų priemonių, kad visą informaciją, be kita ko, nurodytą BDAR 15 straipsnyje, duomenų subjektui pateiktų glaustai, skaidriai, lengvai prieinamai ir suprantamai, aiškia ir paprasta kalba. Šios nuostatos, kuri yra skaidrumo principo išraiška, tikslas – užtikrinti, kad duomenų subjektas galėtų visapusiškai suprasti jam skirtą informaciją ( 32 ).

54.

Teisingumo Teismo teigimu, iš šių elementų darytina išvada, kad tvarkomų asmens duomenų kopija, kurią duomenų valdytojas privalo pateikti pagal BDAR 15 straipsnio 3 dalies pirmą sakinį, turi atitikti visus požymius, leidžiančius duomenų subjektui veiksmingai įgyvendinti savo teises pagal šį reglamentą, todėl joje turi būti visiškai ir tiksliai atgaminti šie duomenys ( 33 ).

55.

Teisingumo Teismas taip pat nurodė, kad gali prireikti kontekstualizuoti tvarkomus asmens duomenis, kad jie būtų suprantami. Dėl to, siekiant užtikrinti, kad taip pateiktą informaciją būtų lengva suprasti, kaip to reikalaujama pagal BDAR 12 straipsnio 1 dalį, siejamą su šio reglamento 58 konstatuojamąja dalimi, dokumentų ištraukų ar net visos apimties dokumentų ar išrašų iš duomenų bazių, kuriuose, be kita ko, yra tvarkomų asmens duomenų, atgaminimas gali būti būtinas ( 34 ).

56.

Teisingumo Teismo teigimu, konkrečiai kalbant, kai asmens duomenys generuojami remiantis kitais duomenimis arba kai tokie duomenys gaunami iš laisvų laukelių, t. y. kai, nesant nuorodų, atskleidžiama informacija apie duomenų subjektą, tokių duomenų tvarkymo kontekstas yra būtinas elementas, kad duomenų subjektas galėtų turėti skaidrią prieigą ir kad šie duomenys būtų jam pateikti suprantamai ( 35 ).

57.

Vadinasi, teisė iš duomenų valdytojo gauti jo tvarkomų asmens duomenų kopiją reiškia, kad duomenų subjektui turi būti pateikti tiksliai ir suprantamai atgaminti visi šie duomenys. Ši teisė apima teisę gauti dokumentų ištraukų ar visos apimties dokumentų arba išrašų iš duomenų bazių, kuriuose, be kita ko, yra minėtų duomenų, kopijas, jeigu tokių kopijų pateikimas yra būtinas, kad duomenų subjektas galėtų veiksmingai pasinaudoti pagal šį reglamentą jam suteiktomis teisėmis ( 36 ).

58.

Teisingumo Teismo jurisprudencija, susijusi su reikalavimais, kurių turi laikytis duomenų valdytojas, pagal BDAR 15 straipsnio 3 dalies pirmą sakinį pateikdamas tvarkomų asmens duomenų kopiją, mano nuomone, yra vertinga gairė nustatant, kokiomis savybėmis turi pasižymėti „prasminga informacija apie loginį automatizuoto sprendimo pagrindimą“, kaip ji suprantama pagal šio reglamento 15 straipsnio 1 dalies h punktą.

59.

Pripažintina, kad iš šios jurisprudencijos taip pat matyti, jog asmens duomenys, kurių kopiją duomenų valdytojas privalo pateikti pagal minėto reglamento 15 straipsnio 3 dalies pirmą sakinį, neturi būti painiojami su informacija, su kuria duomenų subjektas turi teisę susipažinti pagal to reglamento 15 straipsnio 1 dalies a–h punktus ( 37 ).

60.

Vis dėlto, mano nuomone, nėra abejonių, kad pateikiamos informacijos skaidrumo reikalavimas, kuris nustatytas BDAR 12 straipsnio 1 dalyje ir kuriuo grindžiama minėta jurisprudencija, pagal pačias šios nuostatos sąlygas taikomas visiems šiems duomenims ir informacijai, įskaitant susijusius su automatizuoto sprendimo priėmimu.

61.

Taigi, automatizuoto sprendimų priėmimo, kaip antai nagrinėjamo pagrindinėje byloje, kontekste duomenų subjektui turi būti pateikta jo asmens duomenų, kurie buvo tvarkomi, kopija, kurioje šie duomenys būtų išsamiai ir tiksliai atkurti, kaip numatyta BDAR 15 straipsnio 3 dalies pirmame sakinyje.

62.

Be to, labai svarbu, kad duomenų subjektas žinotų, kokiomis aplinkybėmis jo asmens duomenys tvarkomi automatizuotai, kad galėtų pasinaudoti pagal BDAR jam suteiktomis teisėmis, įskaitant teisę pareikšti savo požiūrį į automatizuotą sprendimą ir jį užginčyti.

63.

Be to, būtent toks yra BDAR 15 straipsnio 1 dalies h punkto, pagal kurį iš esmės reikalaujama, kad duomenų subjektas būtų informuotas apie aplinkybes, kuriomis buvo priimtas automatizuotas sprendimas, visų pirma apie šio sprendimo loginį pagrindimą, tikslas.

64.

Duomenų subjekto turimos žinios apie šį kontekstą turi padėti jam suprasti automatizuotu sprendimu pasiektą rezultatą, žinant esminius metodo elementus ir taikytus kriterijus. Trumpai tariant, techninio pobūdžio procesas, kuris lėmė šio sprendimo priėmimą, turi būti suprantamas. Tik tokiu atveju duomenų subjektas galės pasinaudoti teisėmis, pripažintomis BDAR, įskaitant teisę pareikšti savo požiūrį į automatizuotą sprendimą ir jį užginčyti. Taigi sąvoka „prasminga informacija apie loginį automatizuoto sprendimo pagrindimą“ turi būti aiškinama funkciniu požiūriu ( 38 ).

65.

Šiuo aspektu Sąjungos teisės aktų leidėjo pabrėžiamas prasmingos informacijos poreikis yra tiesiogiai susijęs su nagrinėjamos srities techniniu pobūdžiu, dėl kurio būtina užtikrinti, kad ši informacija būtų suprantama ir reikšminga duomenų subjektui. Tai yra būtina sąlyga siekiant užtikrinti minėtos informacijos prasmingumą, kad šis asmuo galėtų veiksmingai naudotis jam pagal BDAR garantuojamomis teisėmis. Skirtingose BDAR 15 straipsnio 1 dalies h punkto kalbinėse versijose pabrėžiami skirtingi informacijos „suprantamumo“ arba „reikšmingumo“ lygmenys, o versijoje anglų kalba ši dvejopa reikšmė išreikšta žodžiu „meaningful“ ( 39 ). Taigi, mano nuomone, reikia pasirinkti sąvokos „prasminga informacija“ aiškinimą pagal pastarąją nuostatą; juo remiantis ir vadovaujantis funkciniu požiūriu būtų galima atsižvelgti į šias papildomas jos reikšmes.

66.

Taigi informacijos prasmingumas duomenų subjektui suponuoja – kaip ir tvarkomų asmens duomenų kopijos, kuri turi būti pateikta pagal BDAR 15 straipsnio 3 dalies pirmą sakinį, atveju – kad ši informacija būtų glausta, lengvai prieinama ir suprantama, pateikta aiškia ir paprasta kalba. Vadinasi, duomenų subjektas, kuriam ši informacija pateikiama, turi turėti galimybę visiškai suprasti jam skirtą informaciją. Atsižvelgiant į tai, gali prireikti kontekstualizuoti pateiktą informaciją, kad ji būtų suprantama.

67.

Trumpai tariant, „prasminga informacija“, kaip reikalaujama pagal BDAR 15 straipsnio 1 dalies h punktą, turi būti ne tik aiški ir prieinama: prie jos turi būti pridėti paaiškinimai, kad ji būtų tinkamai suprasta. Tai ypač aktualu, kai reikia suteikti duomenų subjektui techninės srities informaciją. Šiuo atžvilgiu šia nuostata duomenų subjektui suteikiama tikra teisė paaiškinti automatizuoto su šiuo asmeniu susijusių sprendimų priėmimo mechanizmą ir šio sprendimo rezultatą ( 40 ). Šiuo klausimu pažymiu, kad, vadovaujantis tuo, kas nurodyta BDAR 71 konstatuojamojoje dalyje, duomenų subjektas turėtų turėti galimybę „gauti sprendimo, priimto atlikus šį vertinimą, paaiškinimą“.

68.

Be šių reikalavimų, duomenų subjektas turi turėti galimybę patikrinti su juo susijusių asmens duomenų tikslumą ir informaciją, susijusią su loginiu automatizuoto sprendimo pagrindimu. Taigi jam turi būti įmanoma užsitikrinti objektyviai patikrinamą nuoseklumą ir priežastinį ryšį tarp, viena vertus, naudoto metodo ir kriterijų ir, kita vertus, automatizuotu sprendimu pasiekto rezultato. Kitaip tariant, perduota informacija turi padėti tam asmeniui patikrinti, ar ji atitinka faktus, taigi ir tai, ar nagrinėjamas automatizuotas sprendimas iš tikrųjų grindžiamas tikslia informacija ( 41 ).

69.

Šiuo klausimu primenu, kad, kaip matyti iš nutarties dėl prašymo priimti prejudicinį sprendimą, informacija, kurią D & B pateikė CK, neatitinka tikrovės, nes joje neatskleidžiamas faktiškai su ja susijęs profiliavimas. Teisingumo Teismas jau yra pabrėžęs, kad, atsižvelgiant į automatizuoto asmens duomenų tvarkymo, įskaitant profiliavimą, keliamas konkrečias grėsmes duomenų subjektų teisėms ir laisvėms, pagal BDAR 71 konstatuojamąją dalį svarbu numatyti tinkamas apsaugos priemones ir užtikrinti sąžiningą ir skaidrų požiūrį į duomenų subjektą, visų pirma taikant tinkamas matematines ar statistines profiliavimo procedūras ir įgyvendinant tinkamas technines ir organizacines priemones, siekiant užtikrinti, kad klaidų rizika būtų kuo labiau sumažinta ( 42 ).

70.

Šis tikslumo reikalavimas, mano nuomone, tampa griežtesnis, jei laikomasi nuomonės, kad, kaip Teisingumo Teismas nurodė 2023 m. gruodžio 7 d. Sprendime SCHUFA Holding (Atleidimas nuo likusių skolų) ( 43 ) dėl asmens duomenų, susijusių su atleidimu nuo likusių skolų, tvarkymo, automatizuotas duomenų tvarkymas, kaip antai nagrinėjamas pagrindinėje byloje, yra rimtas kišimasis į Chartijos 7 ir 8 straipsniuose įtvirtintas pagrindines duomenų subjekto teises. Duomenų subjekto asmens duomenys tvarkomi siekiant įvertinti jo kreditingumą, todėl tai yra jautri informacija apie jo privatų gyvenimą. Jų tvarkymas gali labai pakenkti šio asmens interesams, nes jam gali būti užkirstas kelias užmegzti sutartinius santykius, galinčius patenkinti jo įprastinius poreikius ( 44 ).

71.

Taigi manau, kad „prasminga informacija apie loginį automatizuoto sprendimo pagrindimą“, turi leisti duomenų subjektui pasinaudoti pagal BDAR, visų pirma šio reglamento 22 straipsnį, jam garantuojamomis teisėmis. Tai visų pirma reiškia, kad tas asmuo turi galėti gauti glaustą, lengvai prieinamą ir suprantamą bei aiškia ir paprasta kalba pateiktą informaciją apie sprendimo priėmimo metodą ir kriterijus. Antra, ši informacija turi būti pakankamai išsami ir kontekstualizuota, kad minėtas asmuo galėtų patikrinti jos tikslumą ir tai, ar yra objektyviai patikrinamas nuoseklumas ir priežastinis ryšys tarp, pirma, taikyto metodo bei kriterijų ir, antra, automatizuotu sprendimu gauto rezultato.

72.

Atsižvelgdamas į šiuos aspektus, nemanau, kad BDAR 15 straipsnio 1 dalies h punktas turėtų būti aiškinamas taip, kad pagal jį duomenų valdytojui nustatoma pareiga atskleisti duomenų subjektui informaciją, kuri dėl savo techninio pobūdžio yra tokia sudėtinga, kad jos negali suprasti asmenys, neturintys specialių techninių žinių ( 45 ). Mano nuomone, taip yra automatizuotai priimant sprendimus naudojamų algoritmų atveju.

73.

Žinoma, plačiai aiškinant pareigą užtikrinti skaidrumą, būtų galima teigti, kad tikrinant, kaip asmens duomenys tvarkomi naudojant algoritmą, reikia, kad jis būtų atskleistas duomenų subjektui ( 46 ). Vis dėlto laikausi nuomonės, kad šios pareigos esmė – padėti šiam asmeniui suprasti jam pateiktą informaciją, kad jis galėtų pasinaudoti BDAR jam suteiktomis teisėmis. Šiuo požiūriu paaiškinimai, kurie yra prieinami ir nereikalauja ypatingų techninių žinių, tikrai bus „prasmingesni“ nei sudėtinga matematinė formulė.

74.

Taip pat atkreipiu dėmesį, kad, kaip teigiama gairėse, „gali būti sunku suprasti, kaip vyksta automatizuotas sprendimų priėmimo procesas arba profiliavimas“. Taigi „duomenų valdytojas turėt[ų] rasti paprastų būdų, kaip duomenų subjektui paprastai paaiškinti loginį sprendimo priėmimo pagrindimą arba kriterijus, kuriais remiamasi priimant sprendimą. BDAR reikalaujama, kad duomenų valdytojas pateiktų prasmingą informaciją apie loginį pagrindimą, o ne sudėtingai paaiškintų taikomus algoritmus arba atskleistų visą algoritmą <…>. Vis dėlto pateikta informacija turėtų būti pakankamai išsami, kad duomenų subjektas suprastų, kuo remiantis buvo priimtas tam tikras sprendimas“ ( 47 ). Taigi „[d]uomenų valdytojas turėtų pateikti duomenų subjektui bendrą informaciją (pirmiausia – apie veiksnius, į kuriuos atsižvelgta priimant sprendimą, ir atitinkamą kiekvieno iš jų įtaką bendram rezultatui), kuri jam taip pat būtų naudinga norint užginčyti sprendimą“ ( 48 ).

75.

Vis dėlto, kaip gairėse nurodė „29 straipsnio“ duomenų apsaugos darbo grupė, „[s]udėtingumas nėra priežastis nepateikti informacijos duomenų subjektui“ ( 49 ). Darytina išvada, kad duomenų valdytojas negali remtis informacijos sudėtingumu, kad atsisakytų vykdyti jam pagal BDAR 15 straipsnio 1 dalies h punktą tenkančią pareigą. Jis turi pateikti prieinamą ir išsamią informaciją, kad duomenų subjektas galėtų suprasti procesą, kurio metu buvo priimtas jam taikomas automatizuotas sprendimas.

76.

Iš šių aplinkybių darau išvadą, kad pagal BDAR 15 straipsnio 1 dalies h punktą duomenų valdytojas neprivalo duomenų subjektui pateikti techninio pobūdžio informacijos, kurios jis negalėtų suprasti, kaip antai išsamios informacijos apie naudojamus algoritmus ( 50 ). Vis dėlto šis duomenų valdytojas turi įvykdyti savo pareigą kiekvienu atveju pateikti šiam asmeniui prieinamą ir pakankamai išsamią informaciją apie procesą, kuriam įvykus buvo priimtas nagrinėjamas automatizuotas sprendimas, ir priežastis, paaiškinančias rezultatą, gautą priėmus šį sprendimą. Taip apibrėžta „prasminga informacija apie loginį automatizuoto sprendimo pagrindimą“ turėtų, be kita ko, būti apibūdintas naudotas metodas ir kriterijai, į kuriuos atsižvelgta, ir jų palyginimas ( 51 ). Taigi duomenų subjektas turi galėti suprasti, kokia informacija buvo naudojama automatizuotai priimant sprendimus, kaip į ją buvo atsižvelgta ir kaip ji buvo palyginta.

77.

Taip pat reikėtų pabrėžti, kad pagal šią nuostatą, mano nuomone, duomenų valdytojui nedraudžiama savanoriškai nuspręsti pateikti duomenų subjektui techninio pobūdžio informaciją, pavyzdžiui, išsamią informaciją apie naudotus algoritmus, su sąlyga, kad prie šio pranešimo būtų pridėta informacija, padedanti duomenų subjektui suprasti procesą, kuriam pasibaigus buvo priimtas automatizuotas sprendimas, ir šio sprendimo rezultatą.

78.

Pridurčiau, kad BDAR 15 straipsnio 1 dalies h punktas, mano nuomone, neturėtų būti aiškinamas kaip reikalavimas, kad duomenų valdytojas pateiktų duomenų subjektui su trečiosiomis šalimis susijusius asmens duomenis, nebent jei dėl to nukentėtų šių trečiųjų šalių teisės. Kita vertus, palyginimo tikslais anonimiškai pateikti panašių duomenų tvarkymo operacijų pavyzdžiai galėtų padėti šiam asmeniui geriau suprasti, koks automatizuotas sprendimas jam buvo taikomas.

79.

Remiantis tuo, kas išdėstyta, prašymą priimti prejudicinį sprendimą pateikęs teismas turi nustatyti, kokia informacija turėtų būti pateikta duomenų subjektui pagrindinėje byloje. Šiuo atžvilgiu abejoju, ar Teisingumo Teismas, pagal SESV 267 straipsnį atliekantis Sąjungos teisės aiškintojo funkciją, kurią reikia skirti nuo nacionalinio teismo atliekamos šios teisės taikymo funkcijos, galėtų nueiti taip toli, kad konkrečiai nustatytų šios informacijos pobūdį, nors to norėtų prašymą priimti prejudicinį sprendimą pateikęs teismas.

80.

Be to, norėčiau pabrėžti, kad remiantis sąvokos „prasminga informacija apie loginį automatizuoto sprendimo pagrindimą“, kaip ji suprantama pagal BDAR 15 straipsnio 1 dalies h punktą, išaiškinimu, kurį siūlau Teisingumo Teismui priimti, galima laikytis nuomonės, jog Sąjungos teisės aktų leidėjas jau iš esmės užtikrino pusiausvyrą tarp, pirma, skaidrumo reikalavimo, kuriuo grindžiama ši nuostata, ir, antra, kitų asmenų teisių ir laisvių apsaugos, apimančios komercinės paslapties apsaugą. Kadangi, mano nuomone, ši sąvoka neturėtų būti taikoma techninio pobūdžio informacijai, kaip antai algoritmui, kurio duomenų subjektas negali suprasti neturėdamas specialių žinių, minėta nuostata garantuojama teisė susipažinti su duomenimis daugeliu atvejų neturėtų lemti komercinės paslapties, kuria duomenų valdytojas gali teisėtai remtis, pažeidimo. Tas pats pasakytina ir apie trečiųjų šalių asmens duomenų apsaugą, nes ši sąvoka iš principo neturėtų apimti tokių duomenų.

81.

Atsižvelgiant į tai, negalima atmesti galimybės, kad tam tikrais atvejais dėl BDAR 15 straipsnio 1 dalies h punkte garantuojamos teisės susipažinti su dokumentais gali būti pažeistos kitų asmenų teisės ir laisvės. Tokiu pažeidimu duomenų valdytojas gali remtis siekdamas pateisinti atsisakymą pateikti informaciją duomenų subjektui. Kita vertus, gali būti, kad perduotos informacijos nepakaks, kad būtų galima patikrinti jos tikslumą ir atitiktį atitinkamo automatizuoto sprendimo rezultatui, ir kad papildomos informacijos perdavimas tokio patikrinimo tikslais gali neigiamai paveikti kitų asmenų teises ir laisves. Dėl šios priežasties reikia nustatyti, kaip prašo prašymą priimti prejudicinį sprendimą pateikęs teismas, kokiais mechanizmais tokiu atveju galima suderinti nagrinėjamas teises ir interesus.

2.

Dėl duomenų subjekto teisių ir kitų asmenų teisių bei laisvių palyginimo

82.

Norėčiau pažymėti, kad prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar kitų asmenų teisių ir laisvių apsauga, pavyzdžiui, verslo paslapčių, kuriomis remiasi duomenų valdytojas, apsauga, gali lemti teisės susipažinti su duomenimis, kurią asmuo turi pagal BDAR 15 straipsnio 1 dalies h punktą, apimties apribojimą, o jei taip, tai kokiu mastu.

83.

Šiuo klausimu visų pirma reikia nurodyti, kad pagal BDAR 4 konstatuojamąją dalį teisė į asmens duomenų apsaugą nėra absoliuti; ji turi derėti su kitomis pagrindinėmis teisėmis, laikantis proporcingumo principo. Taigi BDAR paisoma visų Chartijoje pripažintų ir Sutartyse įtvirtintų pagrindinių teisių ir laisvių bei principų ( 52 ).

84.

Be to, šio reglamento 63 konstatuojamojoje dalyje nurodyta, kad bet kurio duomenų subjekto teisė susipažinti su asmens duomenimis, kurie buvo surinkti apie jį, „neturėtų turėti neigiamo poveikio kitų asmenų teisėms ar laisvėms, įskaitant komercines paslaptis arba intelektinės nuosavybės teises, ypač autorių teises, kuriomis saugoma programinė įranga. Tačiau tai neturėtų lemti, kad duomenų subjektui būtų atsisakyta suteikti visą informaciją“.

85.

Taigi BDAR 15 straipsnio 4 dalyje numatyta, kad „<…> teisė gauti [tvarkomų asmens duomenų] kopiją negali daryti neigiamo poveikio kitų teisėms ir laisvėms“.

86.

Be to, BDAR 23 straipsnio 1 dalies i punkte primenama, kad BDAR 15 straipsnyje numatytų prievolių ir teisių taikymo srities apribojimas galimas, „kai tokiu apribojimu gerbiama pagrindinių teisių ir laisvių esmė ir jis demokratinėje visuomenėje yra būtina ir proporcinga priemonė siekiant užtikrinti <…> kitų asmenų teisių ir laisvių apsaugą“ ( 53 ).

87.

Iš šių nuostatų Teisingumo Teismas padarė išvadą, kad pripažinta duomenų subjekto teisė nemokamai gauti pirmąją tvarkomų jo asmens duomenų kopiją nėra absoliuti ( 54 ). Be kita ko, remiantis BDAR 15 straipsnio 4 dalimi, siejama su šio reglamento 63 konstatuojamąja dalimi, šio straipsnio 3 dalyje nurodyta teisė gauti tvarkomų asmens duomenų kopiją neturėtų turėti neigiamo poveikio kitų asmenų teisėms ar laisvėms, įskaitant komercines paslaptis arba intelektinės nuosavybės teises, ypač autorių teises, kuriomis saugoma programinė įranga ( 55 ).

88.

Iš šių elementų matyti, kad BDAR 15 straipsnio 1 dalies h punkte numatytos teisės susipažinti su duomenimis apribojimą galima pateisinti argumentais, susijusiais, be kita ko, su kitų asmenų teisių ir laisvių apsauga, jeigu tokiu apribojimu paisoma jos esmės ir jis yra būtina ir proporcinga priemonė šiai apsaugai užtikrinti, kaip numatyta BDAR 23 straipsnio 1 dalies i punkte ( 56 ).

89.

Su komercinės paslapties apsauga, kaip ji suprantama pagal Direktyvos 2016/943 2 straipsnio 1 dalies 1 punktą ( 57 ), susiję argumentai gali būti tinkami BDAR 15 straipsnio 1 dalies h punkte numatytos teisės susipažinti su duomenimis apribojimui pateisinti.

90.

Tiesa, Direktyvos 2016/943 35 konstatuojamojoje dalyje teigiama, kad ja „neturėtų būti daromas poveikis [1995 m. spalio 24 d. Europos Parlamento ir Tarybos] Direktyvoje 95/46/EB [dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ( 58 )] nustatytoms teisėms ir pareigoms, visų pirma duomenų subjekto teisėms susipažinti su tvarkomais savo asmens duomenimis ir reikalauti, kad neišsamūs ar netikslūs duomenys būtų ištaisyti, ištrinti arba užblokuoti“. Atsižvelgiant į tai, man atrodo, kad, kilus konfliktui tarp naudojimosi šio reglamento 15 straipsnio 1 dalies h punkte numatyta teise susipažinti su dokumentais ir kitų asmenų teisių ar laisvių, pirma minėtomis BDAR nuostatomis galima užtikrinti galimybę išlaikyti pusiausvyrą tarp nagrinėjamų teisių ir laisvių ( 59 ).

91.

Taigi, kaip nusprendė Teisingumo Teismas, kai įmanoma, turėtų būti pasirenkami tokie asmens duomenų perdavimo būdai, kuriais nebūtų pažeistos kitų asmenų teisės ar laisvės, atsižvelgiant į tai, kad, kaip nurodyta BDAR 63 konstatuojamojoje dalyje, tokie argumentai neturėtų „lemti, kad duomenų subjektui būtų atsisakyta suteikti visą informaciją“ ( 60 ).

92.

Prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, kokia galėtų būti tokių duomenų perdavimo būdų, kuriais nepažeidžiamos kitų asmenų teisės ir laisvės, forma konkrečiai atsižvelgiant į BDAR 15 straipsnio 1 dalies h punktą.

93.

Šiuo klausimu pažymiu, jog Teisingumo Teismas yra nusprendęs, kad nacionalinis teismas gali manyti, jog šalių ar trečiųjų asmenų asmens duomenys jam turi būti atskleisti, kad, žinant visas bylos aplinkybes ir laikantis proporcingumo principo, būtų galima palyginti esamus interesus. Šis vertinimas prireikus gali lemti tai, kad toks teismas leistų visiškai ar iš dalies atskleisti kitai šaliai jam perduotus asmens duomenis, jeigu mano, kad toks atskleidimas neviršija to, kas būtina siekiant užtikrinti veiksmingą naudojimąsi iš Chartijos 47 straipsnio kylančiomis teisės subjektų teisėmis ( 61 ).

94.

Mano nuomone, ši jurisprudencija gali būti taikoma ir BDAR 15 straipsnio 1 dalies h punkte nurodytai informacijai. Atsižvelgdamas į šią jurisprudenciją manau, kad ši nuostata, siejama su šio reglamento 63 konstatuojamąja dalimi ir 23 straipsnio 1 dalies i punktu, turi būti aiškinama taip, kad, kai dėl informacijos, kuri turi būti pateikta duomenų subjektui pagal pirmąja iš šių nuostatų garantuojamą teisę susipažinti su duomenimis, gali būti pažeistos kitų asmenų teisės ir laisvės, visų pirma dėl to, kad ji apima pagal BDAR saugomus trečiųjų asmenų asmens duomenis arba komercinę paslaptį, kaip tai suprantama pagal Direktyvos 2016/943 2 straipsnio 1 dalies 1 punktą, ši informacija turi būti perduota kompetentingai priežiūros institucijai arba teismui, kad jie, žinodami visas faktines aplinkybes ir laikydamiesi proporcingumo principo bei paisydami šios informacijos konfidencialumo, galėtų įvertinti susijusius interesus ir nustatyti tam asmeniui suteiktinos teisės susipažinti su duomenimis apimtį.

95.

Pagal prašymą priimti prejudicinį sprendimą pateikusio teismo pateiktą informaciją DSG 4 straipsnio 6 dalyje iš esmės nustatyta, kad duomenų subjekto teisė susipažinti su duomenimis, numatyta BDAR 15 straipsnyje, netaikoma, jei tokia galimybė susipažinti su duomenimis keltų pavojų duomenų valdytojo arba trečiosios šalies verslo ar komercinei paslapčiai. Šiuo klausimu manau, kad tokia nuostata negali pakeisti pusiausvyros užtikrinimo, kurį kiekvienu konkrečiu atveju turi atlikti kompetentinga institucija arba teismas. Iš tikrųjų man atrodo, kad iš Teisingumo Teismo jurisprudencijos matyti, jog tais atvejais, kai reikia suderinti prieštaraujančias teises ir interesus, valstybė narė negali galutinai nustatyti šio palyginimo rezultato ( 62 ), dėl konkrečios bylos aplinkybių neleisdama pasiekti kitokio rezultato ( 63 ).

IV.

Išvada

96.

Atsižvelgdamas į tai, kas išdėstyta, siūlau Teisingumo Teismui taip atsakyti į Verwaltungsgericht Wien (Vienos administracinis teismas, Austrija) pateiktus prejudicinius klausimus:

–

kai duomenų subjektui taikomas automatinis sprendimų priėmimas, įskaitant profiliavimą, nurodytas Reglamento 2016/679 22 straipsnyje, „prasminga informacija apie loginį automatizuoto sprendimo pagrindimą“, su kuria tas asmuo turi teisę susipažinti, yra susijusi su metodu ir kriterijais, kuriuos duomenų valdytojas taiko tuo tikslu,

–

ši informacija turi leisti duomenų subjektui naudotis teisėmis, kurios jam garantuojamos pagal Reglamentą 2016/679, visų pirma pagal jo 22 straipsnį. Taigi ji turi būti glausta, lengvai prieinama ir suprantama, pateikta aiškia ir paprasta kalba. Be to, ši informacija turi būti pakankamai išsami ir kontekstualizuota, kad duomenų subjektas galėtų patikrinti jos tikslumą ir tai, ar esama objektyviai patikrinamo nuoseklumo ir priežastinio ryšio tarp, pirma, taikyto metodo bei kriterijų ir, antra, nagrinėjamu automatizuotu sprendimu pasiekto rezultato,

–

kita vertus, duomenų valdytojas neprivalo atskleisti duomenų subjektui informacijos, kuri dėl savo techninio pobūdžio yra tokia sudėtinga, kad jos negali suprasti asmenys, neturintys specialių techninių žinių, ir dėl to reikėtų atmesti galimybę pateikti automatizuotai priimant sprendimus naudojamus algoritmus,

–

kai dėl informacijos, kuri turi būti pateikta duomenų subjektui atsižvelgiant į Reglamento 2016/679 15 straipsnio 1 dalies h punktu garantuojamą teisę susipažinti su duomenimis, gali būti pažeistos kitų asmenų teisės ir laisvės, visų pirma dėl to, kad ji apima šiuo reglamentu saugomus trečiųjų šalių asmens duomenis arba komercinę paslaptį, kaip tai suprantama pagal 2016 m. birželio 8 d. Europos Parlamento ir Tarybos direktyvos (ES) 2016/943 dėl neatskleistos praktinės patirties ir verslo informacijos (komercinių paslapčių) apsaugos nuo neteisėto jų gavimo, naudojimo ir atskleidimo 2 straipsnio 1 dalies 1 punktą, ši informacija turi būti perduota kompetentingai priežiūros institucijai arba teismui, kad jie, žinodami visas faktines aplinkybes ir laikydamiesi proporcingumo principo bei paisydami minėtos informacijos konfidencialumo, galėtų įvertinti susijusius interesus ir nustatyti šiam asmeniui suteiktinos teisės susipažinti su duomenimis apimtį.