Förslag till avgörande av generaladvokat Richard de la Tour – Mål C‑203/22 Dun & Bradstreet Austria

I. Inledning

1. Begäran om förhandsavgörande avser tolkningen av dels artiklarna 15.1 h, 15.4 och 22 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (nedan kallad dataskyddsförordningen), dels artikel 2.1 i Europaparlamentets och rådets direktiv (EU) 2016/943 av den 8 juni 2016 om skydd mot att icke röjd know-how och företagsinformation (företagshemligheter) olagligen anskaffas, utnyttjas och röjs.

2. Begäran har framställts i ett mål mellan CK och Magistrat der Stadt Wien (stadsförvaltningen i Wien, Österrike) rörande en ansökan om verkställighet av ett domstolsbeslut genom vilket ett kreditupplysningsföretag förelagts att tillhandahålla CK meningsfull information om logiken bakom en profilering som bygger på hennes personuppgifter.

3. Jag kommer nedan att precisera vad som enligt min mening ska förstås med ”meningsfull information om logiken bakom” automatiserat beslutsfattande i den mening som avses i artikel 15.1 h i dataskyddsförordningen, och på vilket sätt avvägningen ska göras mellan, å ena sidan, rätten till tillgång till sådan information och, å andra sidan, skyddet av andras rättigheter och friheter, såsom företagshemligheter.

II. Bakgrund till det nationella målet och tolkningsfrågorna

4. CK nekades av en mobiloperatör att ingå eller förlänga ett mobiltelefonavtal som skulle ha medfört en månadsbetalning på 10 euro, eftersom hon inte var tillräcklig kreditvärdig. Påståendet att CK inte var tillräckligt kreditvärdig motiverades med en kreditbedömning som hade utförts på automatiserad väg av Bisnode Austria GmbH (numera Dun & Bradstreet Austria GmbH, nedan kallat D & B), ett företag specialiserat på att tillhandahålla kreditbedömningar.

5. CK ingav en ansökan till den österrikiska dataskyddsmyndigheten om att erhålla relevant information om logiken bakom D & B:s automatiserade beslutsfattande. Dataskyddsmyndigheten biföll hennes begäran.

6. D & B bestred vid Bundesverwaltungsgericht (Federala förvaltningsdomstolen, Österrike) den österrikiska dataskyddsmyndighetens beslut om att företaget skulle lämna ut den information som CK hade begärt.

7. Genom beslut av den 23 oktober 2019 fastställde denna domstol delvis den österrikiska dataskyddsmyndighetens beslut. Den konstaterade att D & B hade åsidosatt den rätt till tillgång som CK har enligt artikel 15.1 h i dataskyddsförordningen, genom att inte tillhandahålla henne meningsfull information om logiken bakom det automatiserade beslutsfattande som grundats på CK:s personuppgifter eller åtminstone genom att inte tillräckligt motivera varför det var omöjligt att lämna ut denna information.

8. Beslutet från Bundesverwaltungsgericht (Federala förvaltningsdomstolen) vann laga kraft och är verkställbart enligt österrikisk rätt.

9. CK:s ansökan om verkställighet av nämnda beslut avslogs emellertid av den verkställande myndigheten, stadsförvaltningen i Wien, med motiveringen att D & B redan hade uppfyllt sin informationsskyldighet tillräckligt.

10. CK väckte talan mot detta beslut vid Verwaltungsgericht Wien (Förvaltningsdomstolen i Wien, Österrike), som är hänskjutande domstol. Denna domstol konstaterade att den inom ramen för CK:s talan var skyldig att fatta ett beslut i den verkställande myndighetens ställe i syfte att verkställa beslutet från Bundesverwaltungsgericht (Federala förvaltningsdomstolen). Den hänskjutande domstolen måste därför konkret fastställa vilken information D & B är skyldigt att lämna ut till CK.

11. Den hänskjutande domstolen anser att artikel 15.1 h i dataskyddsförordningen ger den registrerade rätt till tillgång till korrekt information. Nämnda domstol har påpekat att det finns tydliga indicier på att den (ringa) information som D & B hittills har lämnat ut inte överensstämmer med de faktiska omständigheterna. Medan CK enligt den information som har lämnats ut till henne har en mycket hög kreditvärdighet, har hon vid den faktiska profileringen de facto befunnits sakna all kreditvärdighet, till den grad att hon ekonomiskt befunnits inte ha möjlighet att betala ett belopp om 10 euro per månad. Det finns således en uppenbar motsägelse mellan, å ena sidan, den information som lämnats ut till CK om de personuppgifter om henne som behandlats och om logiken bakom den bedömning som gjorts på automatiserad väg och, å andra sidan, den slutsats som mobiloperatören dragit av det faktiskt fastställda kreditbetyget. Denna motsägelse föranleder tvivel om huruvida den information som hittills lämnats ut till CK är korrekt.

12. Utifrån detta konstaterande anser den hänskjutande domstolen att om en registrerad är föremål för profilering, kan han eller hon göra gällande en rätt till tillgång till korrekt information endast om artikel 15.1 h i dataskyddsförordningen ger honom eller henne en så omfattande rätt till tillgång att han eller hon har möjlighet att kontrollera att den tillhandahållna bedömningen är överensstämmande och begriplig samt komma till insikt om huruvida den interna logik som han eller hon har fått information om inom ramen för rätten till tillgång faktiskt har legat till grund för den genomförda profileringen. Den registrerade måste kort sagt kunna erhålla tillräckligt detaljerad information om de behandlade personuppgifterna och den interna logiken bakom det automatiserade beslutsfattandet, så att han eller hon kan förstå beslutet och kontrollera att det är korrekt.

13. Denna tolkning av artikel 15.1 h i dataskyddsförordningen kan enligt den hänskjutande domstolen göra det möjligt att säkerställa denna bestämmelses ändamålsenliga verkan, genom att förhindra att den personuppgiftsansvarige lämnar felaktig information. Nämnda tolkning ger dessutom den registrerade möjlighet att utöva sina rättigheter enligt artikel 22.3 i förordningen, framför allt rätten att uttrycka sin åsikt beträffande ett automatiserat individuellt beslutsfattande och bestrida att det är överensstämmande och korrekt.

14. Den hänskjutande domstolen har betonat att kravet att den registrerade ska kunna kontrollera att den information som tillhandahålls enligt artikel 15.1 h i dataskyddsförordningen är överensstämmande och korrekt har betydande konsekvenser för frågan hur omfattande och detaljerad information den personuppgiftsansvarig måste lämna ut enligt denna bestämmelse.

15. Den hänskjutande domstolen har i det nationella målet utsett en expert som konkret ska fastställa vilken information D & B måste lämna ut till CK enligt beslutet från Bundesverwaltungsgericht (Federala förvaltningsdomstolen).

16. Den utsedda experten anser att för att möjliggöra en konkretisering som kan ge anledning till verkställighet, säkerställa att det automatiserade beslutsfattandet är begripligt och kontrollera att den tillhandahållna informationen är korrekt och överensstämmande måste den registrerade, i enlighet med den rätt till tillgång som garanteras i artikel 15.1 h i dataskyddsförordningen, åtminstone erhålla tillräckligt omfattande och detaljerad information om för det första, vilka av den registrerades personuppgifter som har behandlats inom ramen för fastställandet av faktorer och på vilket sätt detta har skett, med angivelse av huruvida dessa uppgifter har viktats, för det andra, de centrala delarna av den algoritm som ligger till grund för det automatiserade beslutsfattandet, vilket i varje fall inbegriper den matematiska formel i vilken all information som är relevant för beräkningen av kreditbetyget kan infogas i form av numeriska värden, så att formeln ger detta kreditbetyg, samt en begriplig förklaring av alla värden som använts i nämnda formel, framför allt de värden som inte direkt har härletts ur lagrad information om den registrerade, och för det tredje, relevant information som gör det möjligt att fastställa sambandet mellan den behandlade informationen och den utförda värderingen, vilket framför allt omfattar uppgift om och en tillräcklig beskrivning av funktionerna för värdering av alla värden som använts i denna formel, en presentation av den information som är nödvändig för att fastställa sambandet mellan informationen och värderingen i fall av utvärderingar med hjälp av intervall samt en presentation av använda register- eller indexfunktioner.

17. Av expertutlåtandet framgår att CK har möjlighet att förstå den profilering som hon varit föremål för endast om den matematiska formeln och funktionerna för värdering av alla de värden som använts i denna formel lämnas ut till henne, vilket innebär att det endast är utifrån denna information som hon kan göra gällande sina rättigheter enligt artikel 22.3 i dataskyddsförordningen, nämligen att uttrycka sin åsikt om och bestrida det beslut som grundats på automatiserad behandling.

18. I syfte att möjliggöra en kontroll av att den information som åtminstone måste lämnas ut är korrekt måste D & B enligt detta utlåtande också, som jämförelsegrund, upprätta och lägga fram en relativt komplett och detaljerad förteckning med alla upplysningar om åtminstone 25 jämförbara icke-anonymiserade profileringsärenden som är samtida med den profilering som CK varit föremål för och som har genomförts enligt samma beräkningsregel.

19. Beträffande sistnämnda aspekt har den hänskjutande domstolen påpekat att utlämnandet av sådan information kan påverka rätten till skydd av de personuppgifter som utvärderats i de profileringsärenden som används som jämförelsegrund.

20. Den hänskjutande domstolen vill därför, framför allt med hänsyn till vad som föreskrivs i artikel 9 i direktiv 2016/943, få klarhet i huruvida motstridigheten mellan de olika intressena i förevarande fall skulle kunna lösas genom att de personuppgifter avseende tredje man som är nödvändiga för att kontrollera att den informationen som åtminstone måste lämnas ut är korrekt endast lämnas ut till den behöriga myndigheten eller den behöriga domstolen, som då självständigt skulle pröva om dessa uppgifter avseende tredje man överensstämmer med de faktiska omständigheterna.

21. Den hänskjutande domstolen har även påpekat att enligt praxis från Oberster Gerichtshof (Högsta domstolen, Österrike) och den dominerande doktrinen utgör den algoritm som används vid profilering en företagshemlighet i den mening som avses i direktiv 2016/943. Den hänskjutande domstolen har härvid angett att D & B åberopade att den algoritm som låg till grund för behandlingen utgör en skyddsvärd företagshemlighet, för att motivera sin vägran att lämna ut tillräcklig information om logiken bakom det automatiserade beslutsfattandet. Även här vill den hänskjutande domstolen få klarhet i huruvida motstridigheten mellan den registrerades och den personuppgiftsansvariges intressen skulle kunna lösas genom att den information som kvalificeras som en företagshemlighet i den mening som avses i artikel 2.1 i direktiv 2016/943 endast lämnas ut till den behöriga myndigheten eller den behöriga domstolen, som självständigt skulle kontrollera om en sådan kvalificering kan godtas och om den information som den personuppgiftsansvarige tillhandahållit i enlighet med artikel 15.1 h i dataskyddsförordningen överensstämmer med verkligheten.

22. Den hänskjutande domstolen har emellertid betonat att detta sätt att lösa motstridigheterna mellan de olika förevarande intressena har den nackdelen att den registrerade berövas detaljerad information, vilket begränsar eller till och med omöjliggör den rätt till tillgång som garanteras genom sistnämnda bestämmelse. Detta kan få som verkan att den registrerade hindras från att kontrollera om den information som lämnats ut av den personuppgiftsansvarige är begriplig och korrekt och från att utöva de rättigheter som garanteras enligt bland annat artikel 22.3 i dataskyddsförordningen och artikel 47 i Europeiska unionens stadga om de grundläggande rättigheterna.

23. Inom ramen för den avvägning som ska göras mellan intressena för den registrerade som begär tillgång och den personuppgiftsansvariges intressen vill den hänskjutande domstolen, med hänsyn bland annat till vad som föreskrivs i 4 § 6 i Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (den österrikiska dataskyddslagen) av den 17 augusti 1999, i den lydelse som är tillämplig i det nationella målet (nedan kallad DSG), även få klarhet i tolkningen av artiklarna 15.4 och 23.1 i) i dataskyddsförordningen, jämförda med skäl 63 i samma förordning.

24. Mot denna bakgrund beslutade Verwaltungsgericht Wien (Förvaltningsdomstolen i Wien, Österrike) att vilandeförklara målet och ställa följande frågor till EU domstolen:

”1) Vilka innehållskrav måste information uppfylla för att anses vara tillräckligt ’meningsfull’ i den mening som avses i artikel 15.1 h i [dataskyddsförordningen]? Ska den personuppgiftsansvarige – med hänsyn till eventuella företagshemligheter –, i ett profileringsärende, vid en förfrågan om logiken bakom, i princip även offentliggöra sådana uppgifter som gör det möjligt att härleda resultatet av det automatiserade beslutet i det enskilda fallet, vilket bland annat inbegriper att meddela … vilka av den registrerades uppgifter som har behandlats, … vilka delar av den algoritm som ligger till grund för profileringen som krävs för att härleda beslutet, och … relevant information för att fastställa sambandet mellan den behandlade informationen och den utförda värderingen? Ska den person som har rätt till information i den mening som avses i artikel 15.1 h i [dataskyddsförordningen] i profileringsärenden få tillgång till följande information om den specifika behandling som berör honom eller henne, även om det rör sig om en företagshemlighet, för att kunna säkerställa sina rättigheter enligt artikel 22.3 i [dataskyddsförordningen]:

a) överföring av all eventuell pseudoanonymiserad information, särskilt om hur den registrerades uppgifter har behandlats, så att det kan kontrolleras att [dataskyddsförordningen] har efterlevts,

b) tillhandahållande av de indata som använts för profilering,

c) parametrar och ingångsvariabler som använts vid bedömningen,

d) parametrarnas och ingångsvariablernas påverkan på den framräknade bedömningen,

e) information om hur parametrarna och ingångsvariablerna har tillkommit,

f) förklaring till varför den person som har rätt till information enligt artikel 15.1 h i [dataskyddsförordningen] har fått ett visst bedömningsresultat samt redogörelse för vilket utlåtande som är kopplat till denna bedömning, [och]

g) uppräkning av profilkategorier och förklaring till vilket bedömningsutlåtande som är kopplat till var och en av dessa profilkategorier?

2) Föreligger ett samband mellan å ena sidan den rätt till tillgång enligt artikel 15.1 h i [dataskyddsförordningen] och [å andra sidan] de rättigheter som garanteras i artikel 22.3 i samma förordning vad gäller att uttrycka sin åsikt och bestrida ett automatiserat beslut enligt artikel 22 i samma förordning, i den mån som att den rätt till tillgång som beviljas på grundval av en begäran om information enligt artikel 15.1 h i förordningen är begränsad till att rätten till tillgång endast är tillräckligt ’meningsfull’ om den person som begär tillgång, tillika den registrerade i den mening som avses i artikel 15.1 h i förordningen, har möjlighet att använda sig av den information som tillhandahålls enligt artikel 22.3 i förordningen för att uttrycka sin åsikt och att på ett verkligt, djupgående och framgångsrikt sätt bestrida det automatiserade beslut som rör honom eller henne i enlighet med artikel 22 i förordningen?

3)

a) Ska artikel 15.1 h i [dataskyddsförordningen] tolkas så, att ’meningsfull information’ i den mening som avses i denna bestämmelse endast kan antas föreligga om informationen är så omfattande att den som har rätt till information i den mening som avses i artikel 15.1 h i [dataskyddsförordningen] har möjlighet att avgöra om den tillhandahållna informationen också motsvarar de faktiska omständigheterna, det vill säga om det automatiserade beslut som uttryckligen har begärts verkligen har grundats på den information som tillhandahållits?

b) För det fall att denna fråga ska besvaras jakande: Vilket tillvägagångssätt ska väljas om korrektheten av den information som en personuppgiftsansvarig har lämnat ut endast går att kontrollera genom att till den part som har rätt till informationen i enlighet med artikel 15.1 h i [dataskyddsförordningen] även lämna ut uppgifter rörande tredje part som också skyddas av [dataskyddsförordningen] (Black-Box)? Kan detta spänningsförhållande mellan rätten till tillgång i den mening som avses i artikel 15.1 i [dataskyddsförordningen] och tredje parts dataskyddsrättigheter också upplösas genom att de uppgifter om tredje part som krävs för korrekthetskontroll och som också har använts vid samma profilering lämnas ut till myndigheten eller domstolen, så att denna instans självständigt måste kontrollera om de uppgifter om dessa tredje parter som lämnats ut motsvarar de faktiska omständigheterna?

c) För det fall att denna fråga ska besvaras jakande: Vilka rättigheter har den person som har rätt till information i den mening som avses i artikel 15.1 h i [dataskyddsförordningen] om skyddet av tredje parts rättigheter i den mening som avses i artikel 15.4 i samma förordning under alla omständigheter ska säkerställas genom att det upprättas en Black-Box enligt punkt 3b? Ska den personuppgiftsansvarige i så fall enbart lämna ut uppgifter om andra personer i pseudoanonymiserad form till den person som har rätt till information i den mening som avses i artikel 15.1 h i [dataskyddsförordningen] för att det ska vara möjligt att kontrollera att beslutsprocessen har varit korrekt i enlighet med artikel 15.1 i samma förordning?

4)

a) Vilket tillvägagångssätt ska väljas om den information som ska tillhandahållas enligt artikel 15.1 h i dataskyddsförordningen även uppfyller rekvisiten för företagshemlighet enligt artikel 2.1 i direktiv [2016/943]? Kan spänningsförhållandet mellan den rätt till information som garanteras i artikel 15.1 h i [dataskyddsförordningen] och rätten att inte röja en företagshemlighet som skyddas av direktiv (EU) 2016/943, lösas upp genom att företagshemligheten i den mening som avses i artikel 2.1 i detta direktiv endast lämnas ut till myndigheten eller domstolen, så att denna instans självständigt måste kontrollera om det kan antas föreligga en företagshemlighet i den mening som avses i artikel 2.1 i detta direktiv, och om den information som den personuppgiftsansvarige har lämnat i den mening som avses i artikel 15.1 i dataskyddsförordningen överensstämmer med de faktiska omständigheterna?

b) För det fall att denna fråga ska besvaras jakande: Vilka rättigheter ska den person som har rätt till information i den mening som avses i artikel 15.1 h i [dataskyddsförordningen] beviljas om det är nödvändigt att säkerställa skyddet av tredje parts rättigheter i den mening som avses i artikel 15.4 i samma förordning genom att under alla omständigheter upprätta en sådan Black-Box som avses i punkt 4a? Om diskrepans föreligger mellan den information som ska lämnas ut till myndigheten eller domstolen och den information som ska lämnas ut till den person som har rätt till information i den mening som avses i artikel 15.1 h i dataskyddsförordningen, ska då den person som har rätt till tillgång i den mening som avses i artikel 15.1 h i dataskyddsförordningen, när det rör sig om ett profileringsärende, under alla omständigheter (även) få tillgång till följande information om den specifika behandling som rör honom eller henne, för att han eller hon fullt ut ska kunna säkerställa sina rättigheter enligt artikel 22.3 i samma förordning:

i) överföring av all eventuell pseudoanonymiserad information, särskilt om hur den registrerades uppgifter har behandlats, så att det kan kontrolleras att [dataskyddsförordningen] har efterlevts,

ii) tillhandahållande av de indata som använts för profilering,

iii) parametrar och ingångsvariabler som använts vid bedömningen,

iv) parametrarnas och ingångsvariablernas påverkan på den framräknade bedömningen,

v) information om hur parametrarna och ingångsvariablerna har tillkommit,

vi) förklaring till varför den person som har rätt till information enligt artikel 15.1 h i [dataskyddsförordningen] har fått ett visst bedömningsresultat samt redogörelse för vilket utlåtande som är kopplat till denna bedömning, [och]

vii) uppräkning av profilkategorier och förklaring till vilket bedömningsutlåtande som är kopplat till var och en av dessa profilkategorier?

5) Begränsar bestämmelsen i artikel 15.4 i [dataskyddsförordningen] på något sätt omfattningen av den information som ska lämnas enligt artikel 15.1 h i samma förordning? För det fall att denna fråga ska besvaras jakande: På vilket sätt begränsar artikel 15.4 i [dataskyddsförordningen] denna rätt att få tillgång, och hur ska begränsningens omfattning i ett sådant fall fastställas?

6) Är bestämmelsen i 4 § 6 [DSG], där det fastställs att ’ den registrerades rätt att få tillgång till information enligt artikel 15 i [dataskyddsförordningen] ska i regel inte föreligga gentemot en personuppgiftsansvarig om tillgång till sådan information skulle resultera i att den personuppgiftsansvariges eller tredje parts företags- eller affärshemligheter röjs’, förenlig med bestämmelserna i artikel 15.1 jämförd med artikel 22.3 i [dataskyddsförordningen]? För det fall att denna fråga ska besvaras jakande: Under vilka förhållanden föreligger en sådan förenlighet?”

25. Skriftliga yttranden har inkommit från CK, D & B, den spanska, den nederländska och den polska regeringen samt Europeiska kommissionen.

III. Bedömning

A. Inledande synpunkter

26. I artikel 22.1 i dataskyddsförordningen föreskrivs att ”[d]en registrerade ska ha rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering, vilket har rättsliga följder för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne”. Detta förbud är emellertid inte tillämpligt i de fall som anges i artikel 22.2 i förordningen, vilka jag kommer att återkomma till nedan.

27. I sin dom av den 7 december 2023, SCHUFA Holding m.fl. (Scoring), slog domstolen fast att artikel 22.1 i dataskyddsförordningen ska tolkas så, att begreppet ”automatiserat individuellt beslutsfattande” i den bestämmelsen omfattar att ett kreditupplysningsföretag automatiskt fastställer ett sannolikhetsvärde grundat på personuppgifter om en person, vilket avser personens framtida återbetalningsförmåga, i fall där detta sannolikhetsvärde överförs till en tredje part, och denne i avgörande grad lägger detta värde till grund för sitt beslut om att ingå, fortsätta eller avsluta ett avtalsförhållande med denna person.

28. Till följd av denna dom anmodade domstolen den hänskjutande domstolen att ange om den önskade vidhålla sin begäran om förhandsavgörande, vilket den angav att den ville. Den hänskjutande domstolen ansåg nämligen att nämnda dom inte gav svar på dess frågor om framför allt hur motstridigheten mellan den registrerades rätt till skydd av personuppgifter och den personuppgiftsansvarigs intresse av att skydda företagshemligheter skulle lösas. Nämnda dom svarade inte heller på frågan om hur detaljerad ”meningsfull information om logiken bakom” ett automatiserat beslutsfattande i den mening som avses i artikel 15.1 h i dataskyddsförordningen ska vara.

29. Förevarande mål ger således domstolen tillfälle att komplettera domen i målet SCHUFA Holding m.fl. (Scoring) genom att precisera omfattningen av den rätt till tillgång som garanteras genom nämnda bestämmelse.

30. Den hänskjutande domstolen har nämligen att avgöra hur omfattande och detaljerad den information ska vara som D & B måste lämna ut för att uppfylla kraven i nämnda bestämmelse.

31. Den hänskjutande domstolen vill därför få vägledning av domstolen om följande rättsliga frågor.

32. För det första, vad avses med ”meningsfull information om logiken bakom” automatiserat beslutsfattande i den mening som avses i artikel 15.1 h i dataskyddsförordningen? Omfattar sådan information den algoritm som har använts för det automatiserade beslutsfattandet? I vilken mån och med vilken grad av konkretisering kan det krävas att den personuppgiftsansvarige lämnar ut tillräckligt med information så att den registrerade ges möjlighet att kontrollera att informationen är korrekt och överensstämmer med kreditbetygsbeslutet i fråga?

33. För det andra, i vilken utsträckning kan skyddet av andras rättigheter och friheter, särskilt skyddet av företagshemligheter, påverka den personuppgiftsansvariges skyldighet att tillhandahålla ”meningsfull information om logiken bakom” automatiserat beslutsfattande i den mening som avses i artikel 15.1 h i dataskyddsförordningen? Vilka mekanismer kan i förekommande fall göra det möjligt att lösa motstridigheten mellan den registrerades rättigheter och den personuppgiftsansvariges intressen?

34. I sitt förslag till avgörande i målet SCHUFA Holding m.fl. (Scoring) tog generaladvokaten Pikamäe ställning till de huvudsakliga aspekterna rörande dessa frågor. Han ansåg att artikel 15.1 h i dataskyddsförordningen, jämförd med skäl 63 i samma förordning, ska tolkas så, att den ”i princip även omfattar den beräkningsmetod som används av ett kreditupplysningsföretag för att fastställa ett kreditbetyg, förutsatt att det inte finns några skyddsvärda motstridiga intressen”.

35. Unionslagstiftaren ville säkerställa en rimlig balans mellan de förevarande rättigheterna och intressena, men ville även säkerställa att ”ett minimum av information i vart fall … lämnas för att inte äventyra det väsentliga innehållet i rätten till skydd av personuppgifter”. Generaladvokaten Pikamäe ansåg följaktligen att ”även om skyddet av affärshemligheter eller immateriell äganderätt i princip är ett legitimt skäl för ett kreditupplysningsföretag att vägra avslöja den algoritm som använts för att beräkna den registrerades kreditbetyg, kan det inte på något sätt motivera en absolut vägran att lämna ut information”.

36. Mot bakgrund av artikel 12.1 i dataskyddsförordningen, där det föreskrivs att ”[d]en personuppgiftsansvarige ska vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information [enligt artikel 15] vilken avser behandling i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk”, och skäl 58 i samma förordning ansåg generaladvokaten Pikamäe att ”det verkliga syftet med artikel 15.1 h i dataskyddsförordningen är att säkerställa att den registrerade får information på ett begripligt och lättillgängligt sätt, i enlighet med sina behov”. Han ansåg att ”dessa krav redan utesluter en eventuell skyldighet att avslöja algoritmen, med hänsyn till dess komplexitet. Det är nämligen tveksamt om det är lämpligt att lämna ut en synnerligen komplex formel utan att lämna nödvändiga förklaringar.”

37. Av dessa skäl ansåg generaladvokaten Pikamäe att ”skyldigheten att lämna ’meningsfull information om [den bakomliggande] logiken’ ska förstås så, att den innehåller tillräckligt detaljerade förklaringar om den metod som använts för att beräkna kreditbetyg och skälen till att ett visst resultat har uppnåtts. I allmänhet bör den personuppgiftsansvarige ge den registrerade allmän information, särskilt om de faktorer som beaktats i beslutsprocessen och deras respektive betydelse på aggregerad nivå, vilka också är användbara för den registrerade för att bestrida varje ’beslut’ i den mening som avses i artikel 22.1 i dataskyddsförordningen.”

38. Som jag kommer att förklara mer ingående nedan instämmer jag i huvudsak i den tolkning som föreslagits av generaladvokaten Pikamäe.

B. Tolkningsfrågorna

39. Den hänskjutande domstolen har ställt sina frågor, som jag föreslår ska prövas tillsammans, för att få klarhet i, för det första, huruvida artikel 15.1 h i dataskyddsförordningen ska tolkas så, att ”meningsfull information om logiken bakom” automatiserat beslutsfattande omfattar information som är tillräckligt fullständig för att den registrerade ska ha möjlighet att kontrollera att informationen är korrekt och överensstämmer med kreditbetygsbeslutet i fråga, däribland den algoritm som har använts för det automatiserade beslutsfattandet. Den hänskjutande domstolen vill, för det andra, få klarhet i huruvida och, i förekommande fall, i vilken utsträckning skyddet av andras rättigheter och friheter, exempelvis skyddet av företagshemligheter som har åberopats av den personuppgiftsansvarige, kan begränsa omfattningen av den rätt till tillgång som registrerade har enligt denna bestämmelse.

1. Begreppet ”meningsfull information om logiken bakom” automatiserat beslutsfattande

40. Det ska direkt påpekas att domstolen nyligen har betonat flera särdrag i den rätt till tillgång som föreskrivs i artikel 15 i dataskyddsförordningen när den har haft att uttala sig om omfattningen av rätten att erhålla en kopia av de personuppgifter som är under behandling i enlighet med vad som föreskrivs i artikel 15.3 första meningen i förordningen. Dessa uttalanden är enligt min mening användbara när det gäller att besvara den hänskjutande domstolens frågor.

41. I artikel 15.1 i dataskyddsförordningen, under rubriken ”Den registrerades rätt till tillgång”, definieras föremålet och tillämpningsområdet för den rätt till tillgång som tillerkänns den registrerade samt stadfästs dennes rätt att av den personuppgiftsansvarige få tillgång till sina personuppgifter och den information som anges i leden a–h i denna punkt.

42. Säkerställandet av en sådan rättighet syftar till att uppnå de mål som eftersträvas med dataskyddsförordningen, vilka, som det anges i skälen 10 och 11 däri, är att säkra en enhetlig och hög skyddsnivå för fysiska personer inom Europeiska unionen samt att förstärka och specificera de registrerades rättigheter.

43. I artikel 15.1 h i dataskyddsförordningen förskrivs särskilt att en registrerad har rätt att av den personuppgiftsansvarige informeras om förekomsten av automatiserat beslutsfattande, inbegripet profilering enligt artikel 22.1 och 22.4 i förordningen, varvid det åtminstone i dessa fall ska lämnas meningsfull information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade.

44. Av domstolens praxis framgår allmänt att den rätt till tillgång som föreskrivs i artikel 15 i dataskyddsförordningen ska göra det möjligt för den registrerade att försäkra sig om att de personuppgifter som rör honom eller henne är korrekta och att de behandlas på ett lagenligt sätt.

45. Den kopia av personuppgifter som är under behandling vilken den personuppgiftsansvarige ska tillhandahålla enligt artikel 15.3 första meningen i dataskyddsförordningen ska dessutom vara av sådan beskaffenhet att den registrerade på ett effektivt sätt kan utöva sina rättigheter enligt denna förordning och den ska följaktligen återge dessa uppgifter fullständigt och exakt.

46. I synnerhet är denna rätt till tillgång nödvändig för att möjliggöra för den registrerade att, i förekommande fall, kunna utöva sin rätt till rättelse, sin rätt till radering (”rätten att bli bortglömd”) och sin rätt till begränsning av behandling, vilka tillerkänns den registrerade i artiklarna 16, 17 respektive 18 i dataskyddsförordningen, liksom sin i artikel 21 i dataskyddsförordningen föreskrivna rätt att göra invändningar mot behandlingen av hans eller hennes personuppgifter, och sin rätt att föra talan till följd av skada, i enlighet med artiklarna 79 och 82 i dataskyddsförordningen.

47. När det gäller den registrerades rätt att erhålla den information som föreskrivs i artikel 15.1 h ska det tilläggas att denna rätt till tillgång ska ge den registrerade möjlighet att utöva sina rättigheter enligt artikel 22 i dataskyddsförordningen, vilken specifikt avser den situationen att den registrerade är föremål för ett beslut grundat på automatiserad behandling.

48. Som jag har angett ovan föreskrivs i artikel 22.1 i dataskyddsförordningen en rättighet för varje registrerad att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering, vilket har rättsliga följder för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne. Detta förbud ska emellertid inte tillämpas i de fall som anges i artikel 22.2 i dataskyddsförordningen, det vill säga om beslutet är nödvändigt för ingående eller fullgörande av ett avtal mellan den registrerade och den personuppgiftsansvarige (led a), om det tillåts enligt unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av (led b) eller om det grundar sig på den registrerades uttryckliga samtycke (led c).

49. I artikel 22.2 b och 22.3 i dataskyddsförordningen föreskrivs dessutom att lämpliga åtgärder till skydd för den registrerades rättigheter, friheter och berättigade intressen ska fastställas. I de fall som avses i artikel 22.2 a och c ska den personuppgiftsansvarige åtminstone genomföra åtgärder för att säkerställa den registrerades rätt till personlig kontakt med den personuppgiftsansvarige för att kunna uttrycka sin åsikt och bestrida beslutet. I förevarande mål har den hänskjutande domstolen betonat sambandet mellan den rätt till tillgång som föreskrivs i artikel 15.1 h i dataskyddsförordningen och den registrerades rätt att uttrycka sin åsikt och bestrida det automatiserade beslutet.

50. De högre krav som föreskrivs i dataskyddsförordningen för att ett automatiserat beslutsfattande ska vara lagligt, samt den personuppgiftsansvariges ytterligare informationsskyldigheter, och den registrerades därmed sammanhängande ytterligare rätt till tillgång, förklaras, enligt domstolen, av det syfte som eftersträvas med artikel 22 i dataskyddsförordningen, nämligen att skydda enskilda mot de särskilda riskerna för deras rättigheter och friheter vid automatisk behandling av personuppgifter, inbegripet profilering.

51. Av detta följer att för att fastställa vad som omfattas av ”meningsfull information om logiken bakom” automatiserat beslutsfattande i den mening som avses i artikel 15.1 h i dataskyddsförordningen måste syftet med artikel 22 i dataskyddsförordningen beaktas, så att den registrerade på grundval av denna information faktiskt kan göra gällande sina rättigheter enligt sistnämnda artikel.

52. Det ska härvid påpekas att enligt öppenhetsprincipen, vilken nämns i skäl 58 i dataskyddsförordningen och uttryckligen slås fast i artikel 12.1 i samma förordning ska all information som riktar sig till den registrerade vara kortfattad, lättåtkomlig och lättbegriplig samt utformad på ett tydligt och enkelt språk.

53. Av denna bestämmelse har domstolen slutit sig till att den personuppgiftsansvarige ska vidta lämpliga åtgärder för att ge den registrerade all information som avses, bland annat i artikel 15 i dataskyddsförordningen, i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk. Denna bestämmelse, som ger uttryck för öppenhetsprincipen, syftar till att garantera att den registrerade fullt ut ska kunna förstå den information som lämnas till honom eller henne.

54. Av detta följer enligt domstolen att den kopia av de personuppgifter som är under behandling vilken den personuppgiftsansvarige ska tillhandahålla enligt artikel 15.3 första meningen i dataskyddsförordningen ska vara av sådan beskaffenhet att den registrerade på ett effektivt sätt kan utöva sina rättigheter enligt denna förordning och den ska följaktligen återge dessa uppgifter fullständigt och exakt.

55. Domstolen har även preciserat att det kan visa sig nödvändigt att de behandlade personuppgifterna sätts i sitt sammanhang för att säkerställa att de är begripliga. Det är därför som det, för att säkerställa att den informationen som tillhandahålls är lätt att förstå, såsom krävs enligt artikel 12.1 i dataskyddsförordningen, jämförd med skäl 58 i samma förordning, kan visa sig vara nödvändigt att återge utdrag ur handlingar eller till och med hela handlingar eller utdrag ur databaser, vilka bland annat innehåller de personuppgifter som är under behandling.

56. I synnerhet när personuppgifter genereras från andra uppgifter eller när sådana uppgifter följer av tomma fält, det vill säga när avsaknaden av en uppgift avslöjar information om den registrerade, är det enligt domstolen nödvändigt att beakta i vilket sammanhang uppgifterna behandlas för att den registrerade ska kunna få en tillgång till dessa uppgifter som uppfyller kravet på öppenhet och en begriplig presentation av dem.

57. Rätten att av den personuppgiftsansvarige erhålla en kopia av de personuppgifter som är under behandling innebär följaktligen att den registrerade ska förses med en exakt och begriplig återgivning av samtliga dessa uppgifter. Denna rätt innefattar rätten att erhålla en kopia av utdrag ur handlingar eller till och med av hela handlingar, vilka bland annat innehåller nämnda uppgifter, om tillhandahållandet av en sådan kopia är nödvändigt för att den registrerade ska kunna utöva sina rättigheter enligt denna förordning på ett effektivt sätt.

58. Domstolens praxis avseende de krav som den personuppgiftsansvarige ska uppfylla när en kopia av de personuppgifter som är under behandling tillhandahålls i enlighet med artikel 15.3 första meningen i dataskyddsförordningen innehåller enligt min mening värdefulla indicier när det gäller att fastställa av vilken beskaffenhet ”meningsfull information om logiken bakom” ett automatiserat beslutsfattande i den mening som avses i artikel 15.1 h i dataskyddsförordningen ska vara.

59. Av domstolens praxis följer förvisso också att de personuppgifter som den personuppgiftsansvarige ska tillhandahålla en kopia av i enlighet med artikel 15.3 första meningen i dataskyddsförordningen inte är de samma som den information som den registrerade har rätt att få tillgång till enligt artikel 15.1 a–h i samma förordning.

60. Enligt min mening råder det emellertid ingen tvekan om att enligt lydelsen i artikel 12.1 i dataskyddsförordningen är kravet på öppenhet avseende den tillhandahållna informationen, vilket föreskrivs i denna bestämmelse och på vilket nämnda rättspraxis bygger, tillämpligt på samtliga dessa uppgifter och all denna information, inbegripet sådan som har samband med automatiserat beslutsfattande.

61. I samband med ett automatiserat beslutsfattande såsom det som avses i det nationella målet ska den registrerade i enlighet med artikel 15.3 första meningen i dataskyddsförordningen följaktligen tillhandahållas en kopia av de personuppgifter som är under behandling, vilken fullständigt och exakt återger dessa uppgifter.

62. Dessutom förefaller det nödvändigt att den registrerade får kännedom om det sammanhang i vilket personuppgifterna genomgår automatiserad behandling, för att han eller hon ska kunna utöva sina rättigheter enligt dataskyddsförordningen, bland annat att uttrycka sin åsikt om ett automatiserat beslut och bestrida det.

63. Detta är för övrigt själva syftet med artikel 15.1 h i dataskyddsförordningen, enligt vilken det krävs att den registrerade ska ges kännedom om det sammanhanget för det automatiserade beslutsfattandet, särskilt logiken bakom detta beslutsfattande.

64. Den registrerades kännedom om detta sammanhang ska göra det möjligt för honom eller henne att förstå resultatet av det automatiserade beslutsfattandet, tack vare kännedom om de väsentliga inslagen i den metod som använts och de kriterier som tillämpats. Den process som har lett fram till beslutet, vilken är av teknisk art, måste alltså göras begriplig. Det är endast på detta sätt som den registrerade kan utöva sina rättigheter enligt dataskyddsförordningen, bland annat rätten att uttrycka sin åsikt om ett automatiserat beslut och bestrida det. Begreppet ”meningsfull information om logiken bakom” automatiserat beslutsfattande ska således tolkas på ett funktionellt sätt.

65. Den betoning som unionslagstiftaren har lagt på kravet på meningsfull information har ett direkt samband med det ifrågavarande områdets tekniska natur, vilken gör det nödvändigt att säkerställa att informationen är begriplig och signifikativ för den registrerade. Det rör sig om ett nödvändigt villkor för att säkerställa att informationen är användbar, så att den registrerade faktiskt kan utöva de rättigheter som garanteras genom dataskyddsförordningen. I de olika språkversionerna av artikel 15.1 h i dataskyddsförordningen läggs betoningen i olika grad på att informationen ska vara ”begriplig” eller också ”signifikativ”. Denna dubbla betydelse uttrycks med ordet ”meaningful” i den engelska språkversionen. Begreppet meningsfull information i den mening som avses i nämnda bestämmelse ska därför enligt min mening tolkas så, att det är möjligt att inom ramen för en funktionell angreppsmetod beakta dessa kompletterande betydelser.

66. Meningsfull information för den registrerade förutsätter följaktligen – i likhet med vad som gäller för den kopia av de personuppgifter som är under behandling vilken ska tillhandahållas i enlighet med artikel 15.3 första meningen i dataskyddsförordningen – att informationen är koncis, lättillgänglig, lättbegriplig samt utformad på ett klart och tydligt språk. Den registrerade som informationen lämnas ut till ska således fullt ut kunna förstå den information som lämnas till honom eller henne. Det kan därför vara nödvändigt att den information som lämnas ut sätts i sitt sammanhang i syfte att säkerställa att den är begriplig.

67. Sammanfattningsvis ska den meningsfulla information som krävs enligt artikel 15.1 h i dataskyddsförordningen inte endast vara klar och tillgänglig, utan ska även åtföljas av förklaringar som kan säkerställa att den är begriplig. Detta gäller särskilt när den registrerade ska tillhandahållas information inom ett tekniskt område. Denna bestämmelse ger således den registrerade en verklig rätt till förklaring av hur mekanismen bakom det automatiserade beslutsfattande som han eller hon varit föremål för fungerar och av det resultat som beslutsfattandet lett fram till. Det ska härvid påpekas att enligt vad som anges i skäl 71 i dataskyddsförordningen ska den registrerade kunna ”erhålla en förklaring till det beslut som fattas efter sådan bedömning”.

68. Till dessa krav ska tilläggas att den registrerade måste kunna kontrollera att personuppgifterna och informationen avseende logiken bakom det automatiserade beslutsfattandet är korrekta. Den registrerade måste således kunna förvissa sig om att det finns en överensstämmelse och ett orsakssamband som är objektivt kontrollerbara mellan, å ena sidan, den metod och de kriterier som använts och, å andra sidan, det resultat som nåtts genom det automatiserade beslutet. Den information som lämnas ut måste med andra ord göra det möjligt för den registrerade att kontrollera om den faktiskt överensstämmer med de faktiska omständigheterna och således om det automatiserade beslutet i fråga faktiskt grundats på korrekt information.

69. Det ska erinras om att som det framgår av begäran om förhandsavgörande förefaller den information som D & B har tillhandahållit CK inte att överensstämma med verkligheten, eftersom den inte avslöjar den verkliga profilering som gjordes avseende henne. Domstolen har redan betonat den omständigheten att med beaktande av de särskilda risker för den registrerades rättigheter och friheter som automatiserad behandling av personuppgifter innebär, inbegripet profilering, är det enligt skäl 71 i dataskyddsförordningen viktigt att föreskriva lämpliga skyddsåtgärder och sörja för en rättvis och öppen behandling med avseende på den registrerade, särskilt genom användning av adekvata matematiska eller statistiska förfaranden för profilering, och genomförande av tekniska och organisatoriska åtgärder som säkerställer att risken för fel minimeras.

70. Detta krav på korrekthet förstärks enligt min mening om man, såsom domstolen gjorde i domen av den 7 december 2023, SCHUFA Holding (Skuldsanering), som rörde behandling av personuppgifter i samband med beviljande av skuldsanering, beaktar att automatiserad behandling av det slag som avses i det nationella målet utgör ett allvarligt ingrepp i den registrerades grundläggande rättigheter, vilka är stadfästa i artiklarna 7 och 8 i stadgan. Den registrerades personuppgifter har nämligen behandlats i syfte att bedöma hennes kreditvärdighet och utgör därför känsliga uppgifter om hennes privatliv. Behandlingen av dem kan i avsevärd mån skada den registrerades intressen genom att hon hindras från att ingå avtal som kan täcka dagliga behov.

71. Jag anser följaktligen att ”meningsfull information om logiken bakom” automatiserat beslutsfattande måste göra det möjligt för den registrerade att utöva de rättigheter som garanteras i dataskyddsförordningen, särskilt i artikel 22. Detta förutsätter, för det första, att den registrerade kan erhålla information om den metod och de kriterier som har använts för att fatta detta beslut vilken är koncis, lättillgänglig, lättbegriplig samt utformad på ett klart och tydligt språk. För det andra måste denna information vara tillräckligt fullständig och satt i sitt sammanhang, så att den registrerade kan kontrollera att den är korrekt och att det finns en överensstämmelse och ett orsakssamband som är objektivt kontrollerbara mellan, å ena sidan, den metod och de kriterier som använts och, å andra sidan, det resultat som nåtts genom det automatiserade beslutet.

72. Mot denna bakgrund anser jag att artikel 15.1 h i dataskyddsförordningen inte ska tolkas så, att den personuppgiftsansvarige är skyldig att till den registrerade lämna ut information som på grund av sin tekniska art är så komplex att den inte kan begripas av personer som inte innehar en särskild teknisk expertis. Detta är enligt min mening fallet när det gäller algoritmer som används inom ramen för automatiserat beslutsfattande.

73. Enligt en extensiv tolkning av kravet på öppenhet skulle det förvisso kunna hävdas att för att kontrollera på vilket sätt personuppgifterna behandlats med användning av en algoritm krävs det att algoritmen lämnas ut till den registrerade. Jag anser emellertid att skälet till kravet på öppenhet är att den registrerade ska ha möjlighet att begripa den erhållna informationen i syfte att kunna göra gällande sina rättigheter enligt dataskyddsförordningen. Förklaringar som är tillgängliga utan att det krävs en särskild teknisk expertis är därför definitivt mer ”meningsfulla” än en komplicerad matematisk formel.

74. Enligt ett liknande resonemang ska det påpekas att som det framgår av riktlinjerna kan det vara ”svårt ett förstå hur en automatiserad beslutsprocess eller profilering fungerar”. Följaktligen bör ”[d]en personuppgiftsansvarige … försöka att på ett enkelt sätt förklara logiken bakom, eller kriterierna för att komma fram till, beslutet. I dataskyddsförordningen åläggs den personuppgiftsansvarige att lämna meningsfull information om logiken bakom behandlingen, inte nödvändigtvis en komplex förklaring av de algoritmer som används eller att lämna ut den fullständiga algoritmen … Den information som tillhandahålls bör emellertid vara tillräckligt heltäckande för att den registrerade ska förstå skälen till beslutet.” Således bör ”[d]en personuppgiftsansvarige … tillhandahålla den registrerade allmän information (framför allt om faktorer som beaktades i beslutsprocessen, och deras respektive ’vikt’ på aggregerad nivå) som även kan användas av den registrerade för att överklaga beslutet”.

75. Som Artikel 29-arbetsgruppen för uppgiftsskydd har påpekat i sina riktlinjer är emellertid ”[k]omplexitet … ingen ursäkt för att inte tillhandahålla information till den registrerade”. Av detta följer att den personuppgiftsansvarige inte kan åberopa informationens komplexitet för att vägra att fullgöra sin skyldighet enligt artikel 15.1 h i dataskyddsförordningen. Det åligger den personuppgiftsansvarige att se till att tillhandahålla information som är både tillgänglig och fullständig, så att den registrerade kan begripa den process som har lett fram till det automatiserade beslutet avseende honom eller henne.

76. Av det ovan anförda drar jag slutsatsen att enligt artikel 15.1 h i dataskyddsförordningen är den personuppgiftsansvarige inte skyldig att till den registrerade lämna ut information av teknisk art som den registrerade inte skulle kunna begripa, såsom närmare uppgifter om de använda algoritmerna. Däremot måste den personuppgiftsansvarige uppfylla skyldigheten att i varje enskilt fall tillhandahålla den registrerade såväl tillgänglig som tillräckligt fullständig information om den process som har lett fram till det automatiserade beslutet i fråga samt om de skäl som förklarar det resultat som beslutet har resulterat i. Enligt denna definition av vad som avses med ”meningsfull information om logiken bakom” automatiserat beslutsfattande ska framför allt den använda metoden samt de beaktade kriterierna och viktningen av dem beskrivas. Den registrerade måste följaktligen kunna förstå vilken information som har använts vid det automatiserade beslutsfattandet och hur den har beaktats och viktats.

77. Det ska även preciseras att denna bestämmelse enligt min mening inte hindrar att den personuppgiftsansvarige frivilligt beslutar att lämna information av teknisk art till den registrerade, exempelvis detaljer om de använda algoritmerna, förutsatt att denna information åtföljs av information som gör det möjligt för den registrerade att begripa den process som har lett fram till det automatiserade beslutet och det resultat det gett upphov till.

78. Det ska tilläggas att artikel 15.1 h i dataskyddsförordningen enligt min mening inte ska tolkas så, att det krävs att den personuppgiftsansvarige tillhandahåller den registrerade personuppgifter avseende tredje man, vilket indirekt skulle kunna skada tredje mans rättigheter. Exempel på liknande anonymiserade behandlingar som tillhandahålls som jämförelse kan däremot göra det möjligt för den registrerade att bättre förstå det automatiserade beslutet avseende honom eller henne.

79. Det ankommer på den hänskjutande domstolen att på grundval av ovanstående anvisningar fastställa vilken information som ska tillhandahållas den registrerade i det nationella målet. Jag är tveksam till att domstolen inom ramen för sin uppgift att tolka unionsrätten, vilken den har anförtrotts genom artikel 267 FEUF och vilken ska skiljas från uppgiften att tillämpa unionsrätten, vilken ankommer på den nationella domstolen, kan gå så långt som den hänskjutande domstolen har begärt när det gäller att konkret fastställa denna information.

80. Det ska preciseras att enligt den tolkning av begreppet ”meningsfull information om logiken bakom” automatiserat beslutsfattande i den mening som avses i artikel 15.1 h i dataskyddsförordningen som jag har föreslagit att domstolen ska anta kan det för övrigt anses att unionslagstiftaren redan till stor del har säkerställt balansen mellan, å ena sidan, det krav på öppenhet som utgör grunden för denna bestämmelse och, å andra sidan, bevarandet av andras rättigheter och friheter, bland vilka skyddet av företagshemligheter ingår. Eftersom detta begrepp enligt min mening inte ska förstås så, att det omfattar information av teknisk art, såsom algoritmer, som en registrerad inte kan begripa utan att inneha en särskild expertis, torde den rätt till tillgång som garanteras genom nämnda bestämmelse nämligen inte, i de flesta fall, utgöra ett intrång i den företagshemlighet som den personuppgiftsansvarige legitimt kan göra gällande. Det samma gäller skyddet av tredje mans personuppgifter, eftersom nämnda begrepp i princip inte bör omfatta sådana uppgifter.

81. Det kan dock inte uteslutas att den rätt till tillgång som garanteras genom artikel 15.1 h i dataskyddsförordningen i vissa fall kan inverka menligt på andras rättigheter och friheter. En sådan inverkan kan åberopas av den personuppgiftsansvarige för att motivera ett avslag på ansökan om utlämnande av information till den registrerade. Det kan hända att den information som lämnats ut är otillräcklig för att möjliggöra en kontroll av huruvida den är korrekt och stämmer överens med det resultat som det automatiserade beslutet i fråga har lett fram till och att utlämnande av ytterligare information för denna kontroll skulle kunna inverka menligt på andras rättigheter och friheter. Det är därför som det måste fastställas, såsom den hänskjutande domstolen har begärt, genom vilka mekanismer de ifrågavarande rättigheterna och intressen då kan förenas.

2. Avvägningen mellan den registrerades rättigheter och andras rättigheter och friheter

82. Det ska erinras om att den hänskjutande domstolen vill få klarhet i om och, i förekommande fall, i vilken utsträckning skyddet av andras rättigheter och friheter, såsom skyddet av den företagshemlighet som den personuppgiftsansvarige har åberopat, kan begränsa omfattningen av den rätt till tillgång som den registrerade har enligt artikel 15.1 h i dataskyddsförordningen.

83. Det ska direkt påpekas att enligt skäl 4 i dataskyddsförordningen är rätten till skydd av personuppgifter inte en absolut rättighet utan måste vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen. Dataskyddsförordningen respekterar således alla grundläggande rättigheter och iakttar de friheter och principer som erkänns i stadgan, såsom de fastställts i fördragen.

84. Vidare anges i skäl 63 i dataskyddsförordningen att den registrerades rätt att få tillgång till de personuppgifter som insamlats om honom eller henne ”bör inte inverka menligt på andras rättigheter eller friheter, t.ex. affärshemligheter eller immateriell äganderätt och särskilt inte på upphovsrätt som skyddar programvaran. Resultatet av dessa överväganden bör dock inte bli att den registrerade förvägras all information.”

85. I artikel 15.4 i dataskyddsförordningen föreskrivs således att ”[rätten] till en kopia [av de personuppgifter som är under behandling] ska inte inverka menligt på andras rättigheter och friheter”.

86. På samma sätt erinras det i artikel 23.1 i) i dataskyddsförordningen om att en begränsning av tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i bland annat artikel 15 i dataskyddsförordningen är möjlig ”i den mån … en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa … skydd av … andras rättigheter och friheter”.

87. Av dessa bestämmelser har domstolen slutit sig till att den registrerades rätt att kostnadsfritt erhålla en första kopia av personuppgifter rörande honom eller henne vilka är under behandling inte är absolut. Enligt artikel 15.4 i dataskyddsförordningen, jämförd med skäl 63 i samma förordning, bör särskilt den rätt att erhålla en kopia som avses i artikel 15.3 inte inverka menligt på andras rättigheter och friheter, till exempel på affärshemligheter eller immateriell äganderätt, och särskilt på den upphovsrätt som skyddar programvaran.

88. Av det ovanstående följer att hänsyn till bland annat skyddet av andras rättigheter och friheter kan motivera en begränsning av den rätt till tillgång som föreskrivs i artikel 15.1 h i dataskyddsförordningen, under förutsättning att en sådan begränsning görs med respekt för andemeningen i dessa och utgör en nödvändig och proportionerlig åtgärd för att säkerställa detta skydd, såsom föreskrivs i artikel 23.1 i) i dataskyddsförordningen.

89. Hänsyn till skyddet av en företagshemlighet i den mening som avses i artikel 2.1.1 i direktiv 2016/943 kan motivera en begränsning av den rätt till tillgång som föreskrivs i artikel 15.1 h i dataskyddsförordningen.

90. I skäl 35 i direktiv 2016/943 anges visserligen att detta direktiv ”bör … inte påverka de rättigheter och skyldigheter som föreskrivs i [Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter], i synnerhet den registrerades rätt att få tillgång till sina behandlade personuppgifter och få uppgifterna rättade, utplånade eller blockerade i de fall där de är ofullständiga eller felaktiga”. De bestämmelser i dataskyddsförordningen som jag har hänvisat till ovan förefaller emellertid enligt min mening tala för att det är möjligt att göra en avvägning mellan de aktuella rättigheterna och friheterna i fall av en motstridighet mellan, å ena sidan, utövandet av den rätt till tillgång som föreskrivs i artikel 15.1 h i dataskyddsförordningen och, å andra sidan, andras friheter eller rättigheter.

91. Som domstolen har slagit fast ska i möjligaste mån de former för tillhandahållande av personuppgifter som inte inverkar menligt på andras rättigheter och friheter väljas, med beaktande av att resultatet av dessa överväganden, såsom framgår av skäl 63 i dataskyddsförordningen, inte bör ”bli att den registrerade förvägras all information”.

92. Den hänskjutande domstolen vill få klarhet i hur sådana former för tillhandahållande av personuppgifter som respekterar andras rättigheter och frihet i det särskilda sammanhanget för artikel 15.1 h i dataskyddsförordningen kan se ut.

93. Det ska påpekas att domstolen redan har slagit fast att en nationell domstol kan besluta att en handling som innehåller parternas eller andras personuppgifter ska ges in till den för att den med beaktande av samtliga faktiska omständigheter i målet och i enlighet med proportionalitetsprincipen ska kunna göra en avvägning mellan berörda intressen. Denna bedömning kan i förekommande fall föranleda att domstolen beslutar att de personuppgifter som handlingen innehåller helt eller delvis ska lämnas ut till motparten, om domstolen finner att ett sådant utlämnande inte går utöver vad som är nödvändigt för att säkerställa att parternas rättigheter enligt artikel 47 i stadgan faktiskt upprätthålls.

94. Denna rättspraxis kan enligt min mening tillämpas på den information som avses i artikel 15.1 h i dataskyddsförordningen. Mot bakgrund av nämnda rättspraxis anser jag att denna bestämmelse, jämförd med skäl 63 och artikel 23.1 i) i dataskyddsförordningen, ska tolkas så, att när den information som ska tillhandahållas den registrerade i enlighet med den rätt till tillgång som garanteras i den förstnämnda av dessa bestämmelser kan medföra en kränkning av andras rättigheter och friheter, Framför allt eftersom den innehåller tredje mans personuppgifter som skyddas enligt dataskyddsförordningen eller också en företagshemlighet i den mening som avses i artikel 2.1.1 i direktiv 2016/943, ska denna information lämnas ut till den behöriga kontrollmyndigheten eller den behöriga domstolen, så att denna med beaktande av samtliga omständigheter och i enlighet med proportionalitetsprincipen och med iakttagande av informationens konfidentialitet kan göra en avvägning mellan de förevarande intressena och bestämma omfattningen av den rätt till tillgång som ska beviljas den registrerade.

95. Enligt de uppgifter som den hänskjutande domstolen har lämnat i sin begäran om förhandsavgörande utgör 4 § 6 DSG i princip hinder för den registrerades rätt till tillgång, vilken föreskrivs i artikel 15 i dataskyddsförordningen, när denna tillgång utgör ett intrång i den personuppgiftsansvariges eller tredje mans affärs- eller företagshemlighet. Jag anser att en sådan bestämmelse inte kan ersätta den avvägning som den behöriga myndigheten eller domstolen måste göra från fall till fall. Av domstolens praxis förefaller det nämligen följa att när en avvägning mellan motstående rättigheter och intressen ska göras kan en medlemsstat inte slutgiltigt ange vad resultatet av denna avvägning blir utan att möjliggöra ett annat resultat på grund av de särskilda omständigheterna i det konkreta fallet.

IV. Förslag till avgörande

96. Mot bakgrund av det ovan anförda föreslår jag att domstolen besvarar de frågor som ställts av Verwaltungsgericht Wien (Förvaltningsdomstolen i Wien, Österrike) på följande sätt: Artikel 15.1 h i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), jämförd med skäl 63 och artikel 23.1 i) i samma förordning ska tolkas så, att när en registrerad är föremål för automatiserat beslutsfattande, inbegripet profilering, i den mening som avses i artikel 22 i förordning 2016/679, ska den meningsfulla information om logiken bakom detta automatiserade beslutsfattande som den registrerade har rätt att få tillgång till omfatta den metod och de kriterier som den personuppgiftsansvarige har använt för detta ändamål, att denna information ska göra det möjligt för den registrerade att utöva sina rättigheter enligt förordning 2016/679 och särskilt enligt artikel 22 däri; informationen ska därför vara koncis, lättillgänglig, lättbegriplig samt utformad på ett klart och tydligt språk; den ska dessutom vara tillräckligt fullständig och vara satt i sitt sammanhang så att den registrerade kan kontrollera att den är korrekt och att det finns en överensstämmelse och ett orsakssamband som är objektivt kontrollerbara mellan, å ena sidan, den metod och de kriterier som använts och, å andra sidan, det resultat som nåtts genom det automatiserade beslutet, att den personuppgiftsansvarige däremot inte är skyldig att till den registrerade lämna ut information som på grund av sin tekniska art är så komplex att den inte kan begripas av personer som inte innehar en särskild teknisk expertis, vilket utesluter utlämnande av algoritmer som används inom ramen för automatiserat beslutsfattande, och att när den information som ska tillhandahållas den registrerade i enlighet med den rätt till tillgång som garanteras genom artikel 15.1 h i förordning 2016/679 kan medföra en kränkning av andras rättigheter och friheter, Framför allt eftersom den innehåller tredje mans personuppgifter som skyddas enligt denna förordning eller också en företagshemlighet i den mening som avses i artikel 2.1.1 i Europaparlamentets och rådets direktiv (EU) 2016/943 av den 8 juni 2016 om skydd mot att icke röjd know-how och företagsinformation (företagshemligheter) olagligen anskaffas, utnyttjas och röjs, ska denna information lämnas ut till den behöriga kontrollmyndigheten eller den behöriga domstolen, så att denna med beaktande av samtliga omständigheter och i enlighet med proportionalitetsprincipen och med iakttagande av informationens konfidentialitet kan göra en avvägning mellan de förevarande intressena och bestämma omfattningen av den rätt till tillgång som ska beviljas den registrerade.

1 Originalspråk: franska.

2 EUT L 119, 2016, s. 1, och rättelse i EUT L 127, 2018, s. 2.

3 EUT L 157, 2016, s. 1.

4 Den hänskjutande domstolen har betonat att Bundesverwaltungsgericht (Federala förvaltningsdomstolen, Österrike) i sitt beslut inte preciserade omfattningen av de behandlade personuppgifter som ska lämnas ut eller hur detaljerad information som ska lämnas ut om den bakomliggande logiken.

5 Nedan kallad stadgan.

6 BGBl. I, 165/1999.

7 BGBl. I, 14/2019. Genom denna bestämmelse utesluts i princip den registrerades rätt till tillgång, vilken föreskrivs i artikel 15 i dataskyddsförordningen, när denna tillgång skulle skada en personuppgiftsansvarigs eller tredje mans företags- eller affärshemlighet.

8 Se även skäl 71 i dataskyddsförordningen, där det anges att ”[d]en registrerade bör ha rätt att inte bli föremål för ett beslut, vilket kan inbegripa en åtgärd, med bedömning av personliga aspekter rörande honom eller henne, vilket enbart grundas på automatiserad behandling och medför rättsverkan för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne, såsom ett automatiserat avslag på en kreditansökan online eller e-rekrytering utan personlig kontakt. Sådan behandling omfattar ’profilering’ …, i den mån [den] har rättsverkan rörande honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne.”

9 C‑634/21, EU:C:2023:957 (nedan kallad domen i målet SCHUFA Holding m.fl. (Scoring)).

10 Se domen i målet SCHUFA Holding m.fl. (Scoring) (punkt 73).

11 Samma dag som domstolen meddelade nämnda dom meddelade den även domen av den 7 december 2023, SCHUFA Holding (Skuldsanering) ( C‑26/22 och C‑64/22, EU:C:2023:958), i vilken den tolkade följande artiklar i dataskyddsförordningen: artikel 5.1 a, jämförd med artiklarna 6.1 första stycket f, 17.1 c och d samt 78.1.

12 C‑634/21, EU:C:2023:220.

13 Se förslag till avgörande av generaladvokaten Pikamäe i målet SCHUFA Holding m.fl. (Scoring) ( C‑634/21, EU:C:2023:220, punkt 54).

14 Se förslag till avgörande av generaladvokaten Pikamäe i målet SCHUFA Holding m.fl. (Scoring) ( C‑634/21, EU:C:2023:220, punkt 56).

15 Se förslag till avgörande av generaladvokaten Pikamäe i målet SCHUFA Holding m.fl. (Scoring) ( C‑634/21, EU:C:2023:220, punkt 56).

16 Min kursivering.

17 Se förslag till avgörande av generaladvokaten Pikamäe i målet SCHUFA Holding m.fl. (Scoring) ( C‑634/21, EU:C:2023:220, punkt 57).

18 Se förslag till avgörande av generaladvokaten Pikamäe i målet SCHUFA Holding m.fl. (Scoring) ( C‑634/21, EU:C:2023:220, punkt 57).

19 Se förslag till avgörande av generaladvokaten Pikamäe i målet SCHUFA Holding m.fl. (Scoring) ( C‑634/21, EU:C:2023:220, punkt 58). Generaladvokaten Pikamäe hänvisade härvid till Riktlinjer om automatiserat individuellt beslutsfattande och profilering enligt förordning (EU) 2016/679, som antogs den 3 oktober 2017 av Artikel 29-arbetsgruppen för uppgiftsskydd, i dess reviderade lydelse, vilken antogs den 6 februari 2018 (nedan kallade riktlinjerna), s. 28 och 30.

20 Det ska även påpekas att begreppet ”meningsfull information om logiken bakom” automatiserat beslutsfattande i den mening som avses i artikel 15.1 h i dataskyddsförordningen har gett upphov till ett stort antal publikationer som genom mångfalden ståndpunkter kan berika diskussionen om vilken innebörd detta begrepp ska ges. Bland dessa publikationer kan nämnas följande: Goodman, B., och Flaxman, S., ”European Union Regulations on Algorithmic Decision Making and a ’Right to Explanation’”, AI Magazine, volym 38, nr 3, Wiley, Berlin, 2017, s. 50–57, Wachter, S., Mittelstadt, B., och Floridi, L., ”Why a Right to Explanation of Automated Decision-Making Does Not Exist in the General Data Protection Regulation”, International Data Privacy Law, volym 7, nr 2, Oxford University Press, Oxford, 2017, s. 76–99, Selbst, A. D., och Powles, J., ”Meaningful information and the right to explanation”, International Data Privacy Law, volym 7, nr 4, Oxford University Press, Oxford, 2017, s. 233–242, Cabral, T. S., ”AI and the Right to Explanation: Three Legal Bases under the GDPR”, i Hallinan, D., Leenes, R., och De Hert, P., Data Protection and Privacy: Data Protection and Artificial Intelligence, Hart Publishing, Oxford, 2021, s. 29–56, Edwards, L., och Veale, M., ”Slave to the Algorithm? Why a ’Right to an Explanation’ Is Probably Not the Remedy You Are Looking For”, Duke Law & Technology Review, volym 16, Duke Law School, Durham, 2017, s. 18–84, Brkan, M., ”Do algorithms rule the worlds? Algorithmic decision-making and data protection in the framework of the GDPR and beyond”, International Journal of Law and Information Technology, volym 27, nr 2, Oxford University Press, Oxford, 2019, s. 91–121, Kaminski, M. E., och Malgieri, G., ”Algorithmic impact assessments under the GDPR: producing multi-layered explanations”, International Data Privacy Law, volym 11, nr 2, Oxford University Press, Oxford, 2021, s. 125–144, Custers, B., och Heijne, A.-S., ”The right of access in automated decision-making: The scope of article 15(1)(h) GDPR in theory and practice”, Computer Law & Security Review, volym 46, Elsevier, Amsterdam, 2022, samt Naudts, L., Dewitte, P., och Ausloos, J., ”Meaningful transparency through data rights: A multidimensional analysis”, Research Handbook on EU Data Protection Law, Elgar, Cheltenham, 2022, s. 530–571.

21 Se, bland annat, dom av den 26 oktober 2023, FT (Kopior av patientjournalen) ( C‑307/22, EU:C:2023:811, punkterna 47 och 48, och där angiven rättspraxis) (nedan kallad domen i målet FT (Kopior av patientjournalen)).

22 Med profilering avses enligt artikel 4.4 i dataskyddsförordningen ”varje form av automatisk behandling av personuppgifter som består i att dessa personuppgifter används för att bedöma vissa personliga egenskaper hos en fysisk person, i synnerhet för att analysera eller förutsäga denna fysiska persons arbetsprestationer, ekonomiska situation, hälsa, personliga preferenser, intressen, pålitlighet, beteende, vistelseort eller förflyttningar”.

23 Detta begrepp används även i artiklarna 13.2 f och 14.2 g i dataskyddsförordningen. Se även skäl 63 i samma förordning, där det anges att ”[a]lla registrerade bör … ha rätt att få kännedom och underrättelse om … bakomliggande logik i samband med automatisk behandling av personuppgifter och, åtminstone när behandlingen bygger på profilering, konsekvenserna av sådan behandling”.

24 Även om förevarande begäran om förhandsavgörande särskilt avser begreppet meningsfull information om den bakomliggande logiken i den mening som avses i artikel 15.1 h i dataskyddsförordningen, ska man inte underskatta den omständigheten att den registrerade även ska underrättas om betydelsen och de förutsedda följderna av sådan behandling. Artikel 29-arbetsgruppen för uppgiftsskydd har angett att ”[d]essa formuleringar tyder på att information måste tillhandahållas om planerade framtida behandlingar, och hur det automatiserade beslutsfattandet kan tänkas påverka den registrerade … För att göra informationen meningsfull och begriplig bör verkliga, greppbara exempel på typen av potentiella följder ges” (se riktlinjerna, s. 29).

25 Se, bland annat, dom av den 4 maj 2023, Österreichische Datenschutzbehörde och CRIF ( C‑487/21, EU:C:2023:369, punkt 34 och där angiven rättspraxis) (nedan kallad domen i målet Österreichische Datenschutzbehörde och CRIF), och domen i målet FT (Kopior av patientjournalen) (punkt 73 och där angiven rättspraxis).

26 Se, bland annat, domen i målet FT (Kopior av patientjournalen) (punkt 73 och där angiven rättspraxis).

27 Se, bland annat, domen i målet Österreichische Datenschutzbehörde och CRIF (punkt 35 och där angiven rättspraxis).

28 Som domstolen preciserade i domen i målet SCHUFA Holding m.fl. (Scoring) (punkt 52) innehåller denna bestämmelse ett principiellt förbud vars åsidosättande inte kräver att en registrerad åberopar det individuellt.

29 Se domen i målet SCHUFA Holding m.fl. (Scoring) (punkt 54).

30 Se domen i målet SCHUFA Holding m.fl. (Scoring) (punkt 57). Enligt domstolen innebär sådan personuppgiftsbehandling nämligen, såsom framgår av skäl 71 i dataskyddsförordningen, en bedömning av personliga aspekter rörande den fysiska person som berörs av behandlingen, särskilt för att analysera eller förutse aspekter avseende den registrerades arbetsprestation, ekonomiska situation, hälsa, personliga preferenser eller intressen, pålitlighet eller beteende, vistelseort eller förflyttningar (punkt 58). Enligt detta skäl kan dessa särskilda risker utgöra risker för den registrerades intressen och rättigheter, bland annat med hänsyn till potentiella diskriminerande effekter för fysiska personer (punkt 59).

31 Se domen i målet Österreichische Datenschutzbehörde och CRIF (punkt 37).

32 Se domen i målet Österreichische Datenschutzbehörde och CRIF (punkt 38).

33 Se domen i målet Österreichische Datenschutzbehörde och CRIF (punkt 39) och domen i målet FT (Kopior av patientjournalen) (punkt 73).

34 Se domen i målet Österreichische Datenschutzbehörde och CRIF (punkt 41) och domen i målet FT (Kopior av patientjournalen) (punkt 74).

35 Se domen i målet Österreichische Datenschutzbehörde och CRIF (punkt 42).

36 Se domen i målet Österreichische Datenschutzbehörde och CRIF (punkt 45) och domen i målet FT (Kopior av patientjournalen) (punkt 75).

37 Se, beträffande domstolens tolkning av begreppet information i den mening som avses i artikel 15.3 tredje meningen i dataskyddsförordningen, domen i målet Österreichische Datenschutzbehörde och CRIF (punkterna 46–53).

38 Se Selbst, A. D., och Powles, J., a.a., s. 236.

39 Se Malgieri, G., och Comandé, G., ”Why a Right to Legibility of Automated Decision-Making Exists in the General Data Protection Regulation”, International Data Privacy Law, Oxford University Press, Oxford, 2017, volym 7, nr 4, s. 243–265, särskilt s. 257.

40 Se, bland annat, Cabral, T. S., a.a. Se även, beträffande diskussionen om huruvida en rätt till förklaring föreligger, Brkan, M., a.a., s. 110 och följande sidor.

41 Se Foss-Solbrekk, K., och Glenster, A. K., ”The intersection of data protection rights and trade secrets privileges in ’algorithmic transparency’”, i Research Handbook on EU Data Protection Law, a.a., s. 163–183. Upphovsmännen påpekar, som ett av problemen med användningen av algoritmer, ”möjligheten att algoritmerna … grundas på inexakta uppgifter, vilket således ger resultat som inte återspeglar den registrerades situation” (s. 166) (fritt översatt).

42 Se domen i målet SCHUFA Holding m.fl. (Scoring) (punkt 59).

43 C‑26/22 och C‑64/22, EU:C:2023:958.

44 Se dom av den 7 december 2023, SCHUFA Holding (Skuldsanering) ( C‑26/22 och C‑64/22, EU:C:2023:958, punkt 94 och där angiven rättspraxis).

45 Se Selbst, A. D., och Powles, J., a.a., s. 236.

46 Se, bland annat, beträffande den omfattande diskussion som denna fråga har gett upphov till, Foss-Solbrekk, K. och Glenster, A. K., a.a., s. 167.

47 Se riktlinjerna (s. 28). Min kursivering.

48 Se riktlinjerna (s. 30).

49 Se riktlinjerna (s. 28). Som arbetsgruppen har angett följer det av skäl 58 i dataskyddsförordningen att ”öppenhetsprincipen ’är särskilt relevant i situationer där mängden olika aktörer och den tekniska komplexiteten gör det svårt för den registrerade att veta och förstå om personuppgifter som rör honom eller henne samlas in, vem som gör det och för vilket syfte, exempelvis i fråga om reklam på nätet’”.

50 Se Malgieri, G., och Comandé, G., a.a., som påpekar att ”[o]fta är algoritmerna inte endast okända, utan även omöjliga att förstå för den enskilde” (fritt översatt) (s. 243).

51 Se Poullet, Y., Le RGPD face aux défis de l’intelligence artificielle, Larcier, Bryssel, 2021, där det påpekas att med begreppet meningsfull information förstås olika typer av anonyma uppgifter eller obehandlade uppgifter, deras källor, det sätt på vilket algoritmen fungerar och antagligen, utan att behöva ange några detaljer, den vikt som i grundalgoritmen lagts vid respektive typ av uppgifter (s. 115).

52 Se, bland annat, domen i målet FT (Kopior av patientjournalen) (punkt 59 och där angiven rättspraxis).

53 Se domen i målet FT (Kopior av patientjournalen) (punkt 61).

54 Se domen i målet FT (Kopior av patientjournalen) (punkt 62).

55 Se domen i målet Österreichische Datenschutzbehörde och CRIF (punkt 43).

56 Se, analogt, domen i målet FT (Kopior av patientjournalen) (punkt 63).

57 Enligt denna bestämmelse avses med ”företagshemlighet” i den mening som avses i detta direktiv ”information som uppfyller samtliga följande krav: a) Den är hemlig i den meningen att den inte, som helhet eller i den form dess beståndsdelar ordnats och satts samman, är allmänt känd hos eller lättillgänglig för personer i de kretsar som normalt sett handskas med typen av information i fråga. b) Den har kommersiellt värde på grund av att den är hemlig. c) Den person som lagligen kontrollerar den har med hänsyn till omständigheterna vidtagit rimliga åtgärder för att hålla den hemlig.”

58 EGT L 281, 1995, s. 31.

59 Se för ett liknande resonemang, beträffande artikel 15.4 i dataskyddsförordningen, enligt vilken den rätt att erhålla en kopia av personuppgifter som anges i artikel 15.3 kan begränsas, domen i målet Österreichische Datenschutzbehörde och CRIF (punkt 44).

60 Se domen i målet Österreichische Datenschutzbehörde och CRIF (punkt 44).

61 Se dom av den 2 mars 2023, Norra Stockholm Bygg ( C‑268/21, EU:C:2023:145, punkt 58).

62 Se, bland annat, domen i målet SCHUFA Holding m.fl. (Scoring) (punkt 70 och där angiven rättspraxis).

63 Se, bland annat, dom av den 17 juni 2021, M.I.C.M. ( C‑597/19, EU:C:2021:492, punkt 111 och där angiven rättspraxis).