C-203/22
Prejudiciële hofzaak
Zie bijlage voor de verwijzingsuitspraak, en klik hier voor het dossier van het Hof van Justitie (voor zover beschikbaar). Termijnen: Motivering departement: 31 mei 2022 Schriftelijke opmerkingen: 17 juli 2022
Trefwoorden: AVG, gegevensbescherming, inzagerecht, bedrijfsgeheimen, persoonsgegevens
Onderwerp:
• Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (AVG)
• Richtlijn 2016/943 van het Europees Parlement en de Raad van 8 juni 2016 betreffende de bescherming van niet-openbaar gemaakte knowhow en bedrijfsinformatie (bedrijfsgeheimen) tegen het onrechtmatig verkrijgen, gebruiken en openbaar maken daarvan
Feiten:
Bisnode Austria GmbH is een onderneming die gespecialiseerd is in het verstrekken van kredietbeoordelingen. Aan de onderhavige procedure ligt ten grondslag dat CK een overeenkomst voor mobiele telefonie wilde verlengen. De verlenging werd evenwel door de telecomprovider geweigerd omdat CK financieel niet (voldoende) kredietwaardig zou zijn. Deze veronderstelling was gebaseerd op een geautomatiseerde beoordeling van haar kredietwaardigheid door Bisnode Austria. CK heeft zich daarop tot de Oostenrijkse autoriteit voor gegevensbescherming gewend om toegang te krijgen tot de informatie waarop deze beoordeling berustte. Dit leidde vervolgens tot een definitieve en uitvoerbare beslissing van de federale bestuursrechter in eerste aanleg die inhield dat Bisnode Austria GmbH inbreuk had gemaakt op het krachtens de AVG aan verzoekster toekomende recht van inzage en haar binnen twee weken nuttige informatie over de onderliggende logica van de geautomatiseerde besluitvorming met betrekking tot haar gegevens diende te verstrekken dan wel voldoende diende te motiveren waarom dit niet mogelijk was. CK heeft vervolgens het stadsbestuur van Wenen verzocht om de beslissing van de bestuursrechter ten uitvoer te leggen. Tegen de afwijzende beslissing van het stadsbestuur van Wenen heeft CK zich tot de verwijzende rechter gewend met het verzoek om een beschikking met executoriale kracht uit te vaardigen. Daarin moeten concreet de handelingen worden genoemd waartoe Bisnode Austria GmbH wordt verplicht.
Overweging:
Het staat aan de verwijzende rechter om te bepalen welke gegevens Bisnode Austria moet verstrekken en in welke omvang. In dit verband gaat hij ervan uit dat CK krachtens artikel 15, lid 1, onder h), AVG het recht heeft om waarheidsgetrouwe informatie te ontvangen. De in artikel 15, lid 1, onder h), AVG gebezigde uitdrukking „nuttig” laat in het midden hoever de informatieplicht van de verwerkingsverantwoordelijke reikt, zodat volgens de verwijzende rechter een uitlegging door het Hof geboden lijkt. Volgens de verwijzende rechter valt er veel voor te zeggen dat de bij artikel 22, lid 3, AVG toegekende rechten doeltreffend zijn geformuleerd en tot doel hebben de betrokkene daadwerkelijk in staat te stellen tot het uitoefenen van zijn recht om zijn standpunt kenbaar te maken en het besluit (met succes) aan te vechten. Dit onderstelt evenwel dat hij alle informatie krijgt die hij daarvoor nodig heeft. Derhalve rijst de vraag welke waarde een recht van inzage heeft indien de betrokkene niet in staat wordt gesteld de verstrekte informatie te verifiëren. Indien een recht op verificatie niet dwingend ook deel uitmaakt van artikel 15, lid 1, onder h), AVG, is het recht van inzage zinloos en overbodig. Verder komt het vaak voor dat verzoeken om inzage onder verwijzing naar het bestaan van een bedrijfsgeheim niet of niet uitvoerig worden beantwoord. Ook Bisnode Austria heeft om deze reden geweigerd voldoende informatie te verstrekken. De vraag rijst dan ook of en in hoeverre de tegenwerping dat er sprake is van een bedrijfsgeheim, het recht van inzage krachtens artikel 15, lid 1, onder h), juncto artikel 22, lid 3, AVG kan tenietdoen. Daarnaast stelt de verwijzende rechter dat de AVG slechts één bepaling bevat die betrekking heeft op de rechten van derden, te weten artikel 15, lid 4. Deze bepaling ziet echter enkel op het verkrijgen van een kopie. Het verlenen van inzage in de zin van artikel 15, lid 1, onder h), AVG kan waarschijnlijk ook bestaan in de toezending van een kopie van verwerkte gegevens, wat de vraag doet rijzen of en in welke mate de betreffende restrictie van invloed is op de beantwoording van de vraag of informatie mag worden verstrekt aan de inzagegerechtigden. Ten slotte geeft de verwijzende rechter aan dat in Oostenrijk bij gewone wet is bepaald dat in geval van een conflict de betrokkene in feite nooit de rechten krachtens artikel 15, lid 1, onder h), juncto artikel 22, lid 3, AVG kan uitoefenen. Derhalve rijst de vraag of § 4, lid 6, van de Oostenrijkse gegevensbeschermingswet verenigbaar is met artikel 15, lid 1, juncto artikel 22, lid 3, van de AVG.
Prejudiciële vragen:
1. Aan welke inhoudelijke vereisten moet een verstrekte inlichting voldoen om te kunnen worden aangemerkt als voldoende „nuttig” in de zin van artikel 15, lid 1, onder h), van Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming, AVG)?
Moet – eventueel met inachtneming van een bestaand bedrijfsgeheim – in het geval van profilering door de verwerkingsverantwoordelijke in het kader van de openbaarmaking van de „onderliggende logica” in beginsel ook de informatie worden verstrekt die van essentieel belang is om het resultaat van de geautomatiseerde besluitvorming in het individuele geval begrijpelijk te maken, zoals met name 1) de verwerkte gegevens van de betrokkene, 2) de delen van het aan de profilering ten grondslag liggende algoritme die noodzakelijk zijn voor de begrijpelijkheid, en 3) de relevante informatie waaruit het verband tussen de verwerkte informatie en de waardering daarvan blijkt?
Moet, ook wanneer het bestaan van een bedrijfsgeheim wordt tegengeworpen, in gevallen waarin wordt gebruikgemaakt van profilering, aan de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) hoe dan ook de volgende informatie over de specifiek op hem betrekking hebbende verwerking worden verstrekt teneinde hem in staat te stellen om de hem krachtens artikel 22, lid 3, van die verordening toekomende rechten uit te oefenen:
a) alle eventueel gepseudonimiseerde informatie, met name over de wijze van verwerking van de gegevens van de betrokkene, aan de hand waarvan kan worden nagegaan of de algemene verordening gegevensbescherming (AVG) wordt nageleefd,
b) informatie over de voor de profilering gebruikte invoergegevens,
c) informatie over de parameters en invoervariabelen die zijn gebruikt om de beoordeling te verrichten,
d) informatie over de invloed van deze parameters en invoervariabelen op de verrichte beoordeling,
e) informatie over de totstandkoming van de parameters en invoervariabelen,
f) informatie over de reden waarom aan de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) een bepaald beoordelingsresultaat is toegekend en over de aan deze beoordeling verbonden conclusie,
g) opsomming van de profielcategorieën en informatie over de beoordelingsconclusie die met elk van de profielcategorieën is verbonden?
2) Bestaat er tussen enerzijds het bij artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) toegekende recht van inzage en anderzijds het door artikel 22, lid 3, van deze verordening gewaarborgde recht om het eigen standpunt kenbaar te maken en het geautomatiseerde besluit aan te vechten in zoverre een verband dat de omvang van de op grond van een verzoek om inzage in de zin van artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) te verstrekken informatie enkel voldoende „nuttig” is wanneer de om inzage verzoekende betrokkene in de zin van artikel 15, lid 1, onder h), van deze verordening in staat wordt gesteld om daadwerkelijk, diepgaand en met kans van slagen de rechten uit te oefenen die hem worden gegarandeerd door artikel 22, lid 3, van die verordening, te weten het recht om zijn eigen standpunt kenbaar te maken en om het op hem betrekking hebbende geautomatiseerde besluit als bedoeld in artikel 22 van de algemene verordening gegevensbescherming (AVG) aan te vechten?
3a) Moet artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) aldus worden uitgelegd dat er slechts van „nuttige informatie” in de zin van deze bepaling sprake is wanneer deze informatie zo uitgebreid is dat de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) kan nagaan of deze informatie ook overeenstemt met de feiten, dat wil zeggen of het specifiek opgevraagde geautomatiseerde besluit ook daadwerkelijk berust op de verstrekte informatie?
3b) Zo ja: hoe moet er worden gehandeld wanneer de door een verwerkingsverantwoordelijke verstrekte informatie slechts kan worden geverifieerd indien ook door de algemene verordening gegevensbescherming (AVG) beschermde gegevens van derden ter kennis van de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), van deze verordening worden gebracht (black box)?
Kan dit spanningsveld tussen het recht van inzage in de zin van artikel 15, lid 1, van de algemene verordening gegevensbescherming (AVG) en het recht op gegevensbescherming van derden ook worden opgeheven doordat de voor de verificatie vereiste gegevens van derden die aan dezelfde profilering zijn onderworpen, uitsluitend aan de bevoegde autoriteit of rechter worden verstrekt, zodat deze onafhankelijk dient na te gaan of de verstrekte gegevens van die derden feitelijk juist zijn?
3c) Zo ja: welke rechten moeten de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) hoe dan ook worden toegekend indien de bescherming van de rechten van anderen in de zin van artikel 15, lid 4, van deze verordening moet worden gewaarborgd door het inrichten van een black box als bedoeld onder 3b)?
Moeten in dit geval aan de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) ten minste, in gepseudonimiseerde vorm, de gegevens van anderen worden verstrekt die de verwerkingsverantwoordelijke in de zin van artikel 15, lid 1, van die verordening dient te verstrekken om de verificatie van de juistheid van de besluitvorming mogelijk te maken?
4a) Hoe moet er worden gehandeld wanneer de op grond van artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) te verstrekken informatie ook voldoet aan de voorwaarden waaronder er sprake is van een bedrijfsgeheim in de zin van artikel 2, punt 1, van richtlijn (EU) 2016/943 van 8 juni 2016 betreffende de bescherming van niet-openbaar gemaakte knowhow en bedrijfsinformatie (bedrijfsgeheimen) tegen het onrechtmatig verkrijgen, gebruiken en openbaar maken daarvan (knowhowrichtlijn), PB 2016, L 157, blz. 1?
Kan dit spanningsveld tussen het door artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) gewaarborgde recht van inzage en het door de knowhowrichtlijn beschermde recht op niet-openbaarmaking van bedrijfsgeheimen worden opgeheven door de als bedrijfsgeheim in de zin van artikel 2, punt 1, van de knowhowrichtlijn aan te merken informatie uitsluitend te verstrekken aan de bevoegde autoriteit of rechter, zodat deze onafhankelijk dient na te gaan of er sprake is van een bedrijfsgeheim als bedoeld in die bepaling van de knowhowrichtlijn en of de door de verwerkingsverantwoordelijke in de zin van artikel 15, lid 1, van de algemene verordening gegevensbescherming (AVG) verstrekte informatie feitelijk juist is?
4b) Zo ja: welke rechten moeten de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) hoe dan ook worden toegekend indien de bescherming van de rechten van anderen in de zin van artikel 15, lid 4, van deze verordening moet worden gewaarborgd door het inrichten van een black box als bedoeld onder 4a)?
Moet (eveneens) in dit geval, waarin er sprake is van een discrepantie tussen de aan de bevoegde autoriteit of rechter te verstrekken informatie en de aan de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) te verstrekken informatie, wanneer wordt gebruikgemaakt van profilering, aan die inzagegerechtigde hoe dan ook de volgende informatie over de specifiek op hem betrekking hebbende verwerking worden verstrekt teneinde hem volledig in staat te stellen om de hem krachtens artikel 22, lid 3, van die verordening toekomende rechten uit te oefenen:
5) Wordt de omvang van de op grond van artikel 15, lid 1, onder h), van de algemene verordening gegevensbescherming (AVG) te verstrekken informatie op enigerlei wijze beperkt door artikel 15, lid 4, van deze verordening?
Zo ja, op welke wijze wordt dit recht van inzage door artikel 15, lid 4, van die verordening beperkt en hoe moet in het concrete geval de omvang van deze beperking worden vastgesteld?
6) Is § 4, lid 6, van het Datenschutzgesetz [(Oostenrijkse wet inzake de bescherming van persoonsgegevens)], waarin is bepaald dat „[h]et recht van inzage dat de betrokkene krachtens artikel 15 van de algemene verordening gegevensbescherming (AVG) heeft jegens een verwerkingsverantwoordelijke, [...] onverminderd andere wettelijke beperkingen in de regel niet [bestaat] wanneer het verstrekken van de betreffende informatie afbreuk zou doen aan een bedrijfsgeheim van de verwerkingsverantwoordelijke of een derde”, verenigbaar met artikel 15, lid 1, juncto artikel 22, lid 3, van die verordening? Zo ja, onder welke voorwaarden is dat het geval?
Aangehaalde (recente) jurisprudentie:
Specifiek beleidsterrein: JenV
