Domstolens dom (första avdelningen) den 27 februari 2025

I mål C‑203/22, angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Verwaltungsgericht Wien (Förvaltningsdomstolen i Wien, Österrike) genom beslut av den 11 februari 2022, som inkom till EU-domstolen den 16 mars 2022, i målet

DOMSTOLEN (första avdelningen) sammansatt av domstolens ordförande K. Lenaerts, tillika tillförordnad ordförande på första avdelningen, domstolens vice ordförande T. von Danwitz (referent) samt domarna A. Kumin, N. Jääskinen och I. Ziemele, generaladvokat: J. Richard de la Tour, justitiesekreterare: A. Calot Escobar,

efter det skriftliga förfarandet,

med beaktande av de yttranden som avgetts av: CK, genom C. Wirthensohn, Rechtsanwalt, Dun & Bradstreet Austria GmbH, genom D. Cooper, solicitor, A.‑S. Oberschelp de Meneses, avocate, samt K. Van Quathem och B. Van Vooren, advocaten, Spaniens regering, genom A. Ballesteros Panizo, i egenskap av ombud, Nederländernas regering, genom M.K. Bulterman och C.S. Schillemans, båda i egenskap av ombud, Polens regering, genom B. Majczyna, i egenskap av ombud, Europeiska kommissionen, genom A. Bouchagiar, F. Erlbacher och H. Kranenborg, samtliga i egenskap av ombud,

och efter att den 12 september 2024 ha hört generaladvokatens förslag till avgörande,

följande

Dom

1. Begäran om förhandsavgörande avser tolkningen av dels artiklarna 15.1 h och 22 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, och rättelse i EUT L 127, 2018, s. 2) (nedan kallad dataskyddsförordningen), dels artikel 2.1 i Europaparlamentets och rådets direktiv (EU) 2016/943 av den 8 juni 2016 om skydd mot att icke röjd know-how och företagsinformation (företagshemligheter) olagligen anskaffas, utnyttjas och röjs (EUT L 157, 2016, s. 1).

2. Begäran har framställts i ett mål mellan CK och Magistrat der Stadt Wien (stadsförvaltningen i Wien, Österrike). Målet rör verkställighet av ett domstolsavgörande genom vilket Bisnode Austria GmbH, sedermera Dun & Bradstreet Austria GmbH (nedan kallat D & B eller bolaget), som är ett kreditvärderingsföretag, förelades att ge CK meningsfull information om logiken bakom en profilering som bygger på hennes personuppgifter.

Tillämpliga bestämmelser

Unionsrätt

Dataskyddsförordningen

3. Skälen 4, 11, 58, 63 och 71 i dataskyddsförordningen har följande lydelse:

”(4) Behandlingen av personuppgifter bör utformas så att den tjänar människor. Rätten till skydd av personuppgifter är inte en absolut rättighet; den måste förstås utifrån sin uppgift i samhället och vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen. Denna förordning respekterar alla grundläggande rättigheter och iakttar de friheter och principer som erkänns i stadgan, såsom de fastställts i fördragen, särskilt skydd för privat- och familjeliv, bostad och kommunikationer, skydd av personuppgifter, tankefrihet, samvetsfrihet och religionsfrihet, yttrande- och informationsfrihet, näringsfrihet, rätten till ett effektivt rättsmedel och en opartisk domstol samt kulturell, religiös och språklig mångfald.

…

(11) Ett effektivt skydd av personuppgifter över hela unionen förutsätter att de registrerades rättigheter förstärks och specificeras och att de personuppgiftsansvarigas och personuppgiftsbiträdenas skyldigheter vid behandling av personuppgifter klargörs, samt att det finns likvärdiga befogenheter för övervakning och att det säkerställs att reglerna för skyddet av personuppgifter efterlevs och att sanktionerna för överträdelser är likvärdiga i medlemsstaterna.

…

(58) Öppenhetsprincipen kräver att all information som riktar sig till allmänheten eller till registrerade är kortfattad, lättåtkomlig och lättbegriplig samt utformad på ett tydligt och enkelt språk samt att man vid behov använder visualisering. …

…

(63) Den registrerade bör ha rätt att få tillgång till personuppgifter som insamlats om denne samt på enkelt sätt och med rimliga intervall kunna utöva denna rätt, för att vara medveten om att behandling sker och kunna kontrollera att den är laglig. … Denna rätt bör inte inverka menligt på andras rättigheter eller friheter, t.ex. affärshemligheter eller immateriell äganderätt och särskilt inte på upphovsrätt som skyddar programvaran. Resultatet av dessa överväganden bör dock inte bli att den registrerade förvägras all information. …

…

(71) Den registrerade bör ha rätt att inte bli föremål för ett beslut, vilket kan inbegripa en åtgärd, med bedömning av personliga aspekter rörande honom eller henne, vilket enbart grundas på automatiserad behandling och medför rättsverkan för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne, såsom ett automatiserat avslag på en kreditansökan online eller e-rekrytering utan personlig kontakt. Sådan behandling omfattar ’profilering’ i form av automatisk behandling av personuppgifter med bedömning av personliga aspekter rörande en fysisk person, särskilt för att analysera eller förutse aspekter avseende den registrerades arbetsprestation, ekonomiska situation, hälsa, personliga preferenser eller intressen, pålitlighet eller beteende, vistelseort eller förflyttningar, i den mån dessa har rättsverkan rörande honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne. … Denna form av uppgiftsbehandling bör under alla omständigheter omgärdas av lämpliga skyddsåtgärder, som bör inkludera specifik information till den registrerade och rätt till mänskligt ingripande, att framföra sina synpunkter, att erhålla en förklaring till det beslut som fattas efter sådan bedömning och att överklaga beslutet. …”

4. I artikel 4 (”Definitioner”) i dataskyddsförordningen föreskrivs följande i led 4:

”I denna förordning avses med

…

4. profilering: varje form av automatisk behandling av personuppgifter som består i att dessa personuppgifter används för att bedöma vissa personliga egenskaper hos en fysisk person, i synnerhet för att analysera eller förutsäga denna fysiska persons arbetsprestationer, ekonomiska situation, hälsa, personliga preferenser, intressen, pålitlighet, beteende, vistelseort eller förflyttningar.”

5. I artikel 12 (”Klar och tydlig information och kommunikation samt klara och tydliga villkor för utövandet av den registrerades rättigheter”) i dataskyddsförordningen föreskrivs följande i punkt 1:

”Den personuppgiftsansvarige ska vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information som avses i artiklarna 13 och 14 och all kommunikation enligt artiklarna 15–22 och 34 vilken avser behandling i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk, i synnerhet för information som är särskilt riktad till barn. …”

6. I punkt 2 f i artikel 13 (”Information som ska tillhandahållas om personuppgifterna samlas in från den registrerade”) respektive i punkt 2 g i artikel 14 (”Information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade”) föreskrivs att den personuppgiftsansvarige, för att säkerställa en rättvis och öppen behandling i förhållande till den registrerade, är skyldig att särskilt tillhandahålla den registrerade information om ”[f]örekomsten av automatiserat beslutsfattande, inbegripet profilering enligt artikel 22.1 och 22.4, varvid det åtminstone i dessa fall ska lämnas meningsfull information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade”.

7. I artikel 15 (”Den registrerades rätt till tillgång”) i dataskyddsförordningen föreskrivs följande:

”1. Den registrerade ska ha rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna och följande information:

…

h) Förekomsten av automatiserat beslutsfattande, inbegripet profilering enligt artikel 22.1 och 22.4, varvid det åtminstone i dessa fall ska lämnas meningsfull information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade.

…

3. Den personuppgiftsansvarige ska förse den registrerade med en kopia av de personuppgifter som är under behandling. För eventuella ytterligare kopior som den registrerade begär får den personuppgiftsansvarige ta ut en rimlig avgift på grundval av de administrativa kostnaderna. Om den registrerade gör begäran i elektronisk form ska informationen tillhandahållas i ett elektroniskt format som är allmänt använt, om den registrerade inte begär något annat.

4. Den rätt till en kopia som avses i punkt 3 ska inte inverka menligt på andras rättigheter och friheter.”

8. I artikel 22 (”Automatiserat individuellt beslutsfattande, inbegripet profilering”) i dataskyddsförordningen föreskrivs följande:

”1. Den registrerade ska ha rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering, vilket har rättsliga följder för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne.

2. Punkt 1 ska inte tillämpas om beslutet

a) är nödvändigt för ingående eller fullgörande av ett avtal mellan den registrerade och den personuppgiftsansvarige,

b) tillåts enligt unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av och som fastställer lämpliga åtgärder till skydd för den registrerades rättigheter, friheter och berättigade intressen, eller

c) grundar sig på den registrerades uttryckliga samtycke.

3. I fall som avses i punkt 2 a och c ska den personuppgiftsansvarige genomföra lämpliga åtgärder för att säkerställa den registrerades rättigheter, friheter och rättsliga intressen, åtminstone rätten till personlig kontakt med den personuppgiftsansvarige för att kunna ut[t]rycka sin åsikt och bestrida beslutet.

4. Beslut enligt punkt 2 får inte grunda sig på de särskilda kategorier av personuppgifter som avses i artikel 9.1, såvida inte artikel 9.2 a eller g gäller och lämpliga åtgärder som ska skydda den registrerades berättigade intressen har vidtagits.”

9. Artikel 23 (”Begränsningar”) i dataskyddsförordningen har följande lydelse:

”1. Det ska vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt som den personuppgiftsansvarige eller personuppgiftsbiträdet omfattas av införa en lagstiftningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 och 34, samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22, om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa

…

i) skydd av den registrerade eller andras rättigheter och friheter,

…

2. Framför allt ska alla lagstiftningsåtgärder som avses i punkt 1 innehålla specifika bestämmelser åtminstone, när så är relevant, avseende

a) ändamålen med behandlingen eller kategorierna av behandling,

b) kategorierna av personuppgifter,

c) omfattningen av de införda begränsningarna,

d) skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring,

e) specificeringen av den personuppgiftsansvarige eller kategorierna av personuppgiftsansvariga,

f) lagringstiden samt tillämpliga skyddsåtgärder med beaktande av behandlingens art, omfattning och ändamål eller kategorierna av behandling,

g) riskerna för de registrerades rättigheter och friheter, och

h) de registrerades rätt att bli informerade om begränsningen, såvida detta inte kan inverka menligt på begränsningen.”

10. I artikel 54 (”Regler för inrättandet av en tillsynsmyndighet”) i dataskyddsförordningen föreskrivs följande i punkt 2:

”Varje tillsynsmyndighets ledamot eller ledamöter och personal ska i enlighet med unionsrätten eller medlemsstaternas nationella rätt omfattas av tystnadsplikt både under och efter sin mandattid vad avser konfidentiell information som de fått kunskap om under utförandet av sina uppgifter eller utövandet av sina befogenheter. Under mandatperioden ska denna tystnadsplikt i synnerhet gälla rapportering från fysiska personer om överträdelser av denna förordning.”

11. I artikel 58 (”Befogenheter”) i dataskyddsförordningen föreskrivs följande i punkt 1 e:

”Varje tillsynsmyndighet ska ha samtliga följande utredningsbefogenheter[:]

e) Från den personuppgiftsansvarige och personuppgiftsbiträdet få tillgång till alla personuppgifter och all information som tillsynsmyndigheten behöver för att kunna fullgöra sina uppgifter.”

Direktiv 2016/943

12. I skäl 35 i direktiv 2016/943 anges följande:

”Det här direktivet bör … inte påverka de rättigheter och skyldigheter som föreskrivs i [Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31)], i synnerhet den registrerades rätt att få tillgång till sina behandlade personuppgifter och få uppgifterna rättade, utplånade eller blockerade i de fall där de är ofullständiga eller felaktiga …”

13. I artikel 2.1 i direktiv 2016/943 föreskrivs följande:

”I detta direktiv avses med

1. Företagshemlighet: information som uppfyller samtliga följande krav:

a) Den är hemlig i den meningen att den inte, som helhet eller i den form dess beståndsdelar ordnats och satts samman, är allmänt känd hos eller lättillgänglig för personer i de kretsar som normalt sett handskas med typen av information i fråga.

b) Den har kommersiellt värde på grund av att den är hemlig.

c) Den person som lagligen kontrollerar den har med hänsyn till omständigheterna vidtagit rimliga åtgärder för att hålla den hemlig.”

14. I artikel 9 (”Bevarande av konfidentialiteten för företagshemligheter under domstolsförfaranden”) i direktiv 2016/943 föreskrivs följande:

”1. Medlemsstaterna ska se till att parterna, deras advokater eller andra företrädare, domstolstjänstemän, vittnen, sakkunniga och varje annan person som deltar i ett domstolsförfarande om olagligt anskaffande, utnyttjande eller röjande av en företagshemlighet, eller som har tillgång till handlingar som ingår i domstolsförfarandet, inte har rätt att utnyttja eller röja företagshemligheter eller påstådda företagshemligheter som de behöriga rättsliga myndigheterna, efter en vederbörligen motiverad ansökan av en intressent, har identifierat som konfidentiella och om vilka de har blivit medvetna till följd av ett sådant deltagande eller en sådan tillgång. Medlemsstaterna får i detta avseende också tillåta att behöriga rättsliga myndigheter handlar på eget initiativ.

Den skyldighet som avses i första stycket ska fortsätta att gälla efter det att domstolsförfarandet har avslutats. Skyldigheten ska dock upphöra om någon av följande omständigheter föreligger:

a) Om den påstådda företagshemligheten enligt ett avgörande som fått laga kraft inte anses uppfylla de krav som anges i artikel 2.1, eller

b) om den berörda informationen över tid blir allmänt känd bland eller lättillgänglig för personer i de kretsar som normalt sett handskas med denna typ av information.

2. Medlemsstaterna ska också se till att de behöriga rättsliga myndigheterna, efter en vederbörligen motiverad ansökan av en part, kan vidta de specifika åtgärder som krävs för att bevara konfidentialiteten för företagshemligheter eller påstådda företagshemligheter som utnyttjas eller som det hänvisas till under ett domstolsförfarande som rör det olagliga anskaffandet, utnyttjandet eller röjandet av en företagshemlighet. Medlemsstaterna får också tillåta att behöriga rättsliga myndigheter vidtar sådana åtgärder på eget initiativ.

De åtgärder som avses i första stycket ska omfatta minst möjligheten

a) att begränsa tillgången till sådana handlingar innehållande företagshemligheter eller påstådda företagshemligheter som lämnats in av parterna eller av tredje part, helt eller delvis, till ett begränsat antal personer,

b) att begränsa tillträdet till domstolsförhandlingar där företagshemligheter eller påstådda företagshemligheter kan komma att röjas, och tillgången till protokoll eller utskrifter från sådana förhandlingar, till ett begränsat antal personer,

c) att tillhandahålla varje annan person än de personer som ingår i det begränsade antal personer som avses i leden a och b en icke-konfidentiell version av varje domstolsavgörande där de passager som innehåller företagshemligheter har avlägsnats eller redigerats.

Det antal personer som avses i andra stycket leden a och b ska inte vara större än vad som är nödvändigt för att säkerställa att den rätt som parterna i domstolsförfarandet har till ett effektivt rättsmedel och till en opartisk domstol iakttas och ska omfatta minst en fysisk person från vardera parten samt respektive advokater eller andra företrädare för parterna i domstolsförfarandet.

3. När de behöriga rättsliga myndigheterna beslutar om de åtgärder som avses i punkt 2 och bedömer åtgärdernas proportionalitet ska de ta hänsyn till nödvändigheten att säkerställa rätten till ett effektivt rättsmedel och rätten till en opartisk domstol, de berörda parternas och, i tillämpliga fall, tredje parts legitima intressen samt till sådan skada som någon av parterna och, i tillämpliga fall, tredje part skulle kunna åsamkas till följd av ett bifall till eller avslag på ansökan om sådana åtgärder.

4. All behandling av personuppgifter enligt punkterna 1, 2 eller 3 ska ske i enlighet med direktiv [95/46].”

Österrikisk rätt

15. Av 4 § 6 i Datenschutzgesetz (dataskyddslagen) av den 17 augusti 1999 (BGBl. I, 165/1999), i den lydelse som är tillämplig i det nationella målet (nedan kallad DSG), framgår att den registrerade i princip inte har rätt att få tillgång till sina personuppgifter enligt artikel 15 i dataskyddsförordningen, om detta skulle skada den personuppgiftsansvariges eller någon annans företags- eller affärshemlighet.

Målet vid den nationella domstolen och tolkningsfrågorna

16. CK nekades av en mobiloperatör att ingå eller förlänga ett avtal om mobiltelefoni, vilket skulle ha inneburit en månatlig betalning av ett belopp på 10 euro. Skälet som angavs var att CK, enligt en automatiserad kreditvärdering som gjorts av D & B, inte var tillräckligt kreditvärdig.

17. CK vände sig därefter till den österrikiska dataskyddsmyndigheten, som förelade D & B att ge CK meningsfull information om logiken bakom det automatiserade beslutsfattande som grundats på CK:s personuppgifter.

18. D & B överklagade myndighetens beslut till Bundesverwaltungsgericht (Federala förvaltningsdomstolen, Österrike) (nedan kallad Bundesverwaltungsgericht) och gjorde i huvudsak gällande att bolaget, på grund av en skyddad företagshemlighet, inte var skyldigt att lämna ut ytterligare information till CK utöver den som det redan lämnat ut till henne.

19. I dom av den 23 oktober 2019 fann Bundesverwaltungsgericht att D & B hade åsidosatt den rätt till tillgång som CK har enligt artikel 15.1 h i dataskyddsförordningen, genom att inte tillhandahålla henne meningsfull information om logiken bakom det automatiserade beslutsfattande som grundats på hennes personuppgifter eller åtminstone genom att inte tillräckligt motivera varför det var omöjligt att lämna ut denna information.

20. I domskälen anförde Bundesverwaltungsgericht särskilt att D & B inte hade gett CK tillräckliga förklaringar för att hon skulle kunna förstå hur sannolikheten för hennes framtida beteende (”score”) (nedan kallat kreditbetyg) hade beräknats. Denna sannolikhetsprognos hade bolaget lämnat ut till CK med preciseringen att vissa sociodemografiska uppgifter om CK hade ”viktats mot varandra på ett likvärdigt sätt” vid beräkningen av hennes kreditbetyg.

21. Bundesverwaltungsgerichts dom av den 23 oktober 2019 vann laga kraft och blev därmed verkställbart enligt österrikisk rätt. När CK ansökte om verkställighet av domen vid Wiens stadsförvaltning, som är verkställande myndighet, avslogs dock hennes ansökan. Myndigheten ansåg nämligen att D & B hade uppfyllt sin informationsskyldighet i tillräcklig utsträckning, trots att bolaget inte hade lämnat någon ytterligare information efter det att nämnda dom meddelats.

22. CK överklagade beslutet från staden Wiens stadsförvaltning till den hänskjutande domstolen i förevarande mål, Verwaltungsgericht Wien (Förvaltningsdomstolen i Wien, Österrike), och yrkade att Bundesverwaltungsgerichts dom skulle verkställas.

23. Den hänskjutande domstolen har angett att den enligt österrikisk rätt är skyldig att verkställa nämnda dom, vilket innefattar att fastställa vilka konkreta åtgärder som D & B är skyldigt att vidta enligt domen.

24. Den hänskjutande domstolen ansåg att detta fastställande endast kunde göras av en sakkunnig med erforderlig kompetens och utsåg därför en sakkunnig, som kom fram till att D & B var skyldigt att åtminstone lämna ut följande information för att uppfylla sina skyldigheter gentemot CK: Vilka personuppgifter om CK som behandlats vid upprättandet av en så kallad faktor (födelsedatum, adress, kön etcetera). Den matematiska formel som legat till grund för beräkningen av det aktuella kreditbetyget. Det konkreta värde som CK tilldelats för var och en av de berörda faktorerna. De exakta intervall inom vilka samma värde tillskrivs olika data för samma faktor (intervallvärdering eller diskret värdering eller indexbaserad/fastighetsregisterbaserad värdering).

25. För att säkerställa att CK, efter att ha erhållit denna minimiinformation, gavs möjlighet att kontrollera att den var riktig ansåg den sakkunnige att D & B även måste lämna ut en förteckning över de kreditbetyg som tilldelats enskilda personer under de sex månaderna före och efter fastställandet av CK:s kreditbetyg på grundval av samma beräkningsmetod.

26. Den hänskjutande domstolen har angett att det är nödvändigt att ha tillgång till minimiinformation av det av den sakkunnige nämnda slaget för att det ska vara möjligt att kontrollera att den information som lämnats av en personuppgiftsansvarig enligt artikel 15.1 h i dataskyddsförordningen är konsekvent och riktig.

27. I förevarande fall finns det enligt den hänskjutande domstolen en rad omständigheter som tydligt visar att den information som lämnats av D & B inte överensstämmer med de faktiska förhållandena. Av den information som lämnades till CK, däribland det kreditbetyg som hon erhållit, framgick nämligen att hon var mycket kreditvärdig, men trots detta ledde den faktiska profileringen till bedömningen att CK inte var kreditvärdig och inte ens hade förmåga att betala ett belopp på 10 euro per månad för ett mobilabonnemang.

28. Enligt den hänskjutande domstolen uppkommer därmed frågan huruvida artikel 15.1 h i dataskyddsförordningen garanterar en rätt för den registrerade att ges möjlighet kontrollera att den information som lämnats av den personuppgiftsansvarige är riktig.

29. Den hänskjutande domstolen anser att om artikel 15.1 h i dataskyddsförordningen inte säkerställer en sådan rätt till kontrollmöjligheter, blir den däri angivna rätten för den registrerade att få tillgång till sina personuppgifter och annan information tömd på innehåll och mening, särskilt eftersom en personuppgiftsansvarig då skulle kunna lämna felaktig information.

30. En annan fråga som uppkommer enligt den hänskjutande domstolen är huruvida, och i så fall i vilken utsträckning, undantaget med hänvisning till förekomsten av en företagshemlighet innebär en begränsning av den registrerades rätt till tillgång enligt artikel 15.1 h jämförd med artikel 22 i dataskyddsförordningen.

31. Den hänskjutande domstolen vill, mot bakgrund av artikel 9 i direktiv 2016/943, få klarhet i huruvida det är möjligt att göra en bedömning enligt vilken information som klassats som ”företagshemligheter”, i den mening som avses i artikel 2.1 i direktivet, endast ska lämnas ut till behörig myndighet eller domstol, för att denna myndighet eller domstol självständigt ska kunna kontrollera huruvida det faktiskt är fråga om en sådan företagshemlighet och huruvida den information som lämnats av den personuppgiftsansvarige enligt artikel 15.1 i dataskyddsförordningen överensstämmer med de faktiska förhållandena i det aktuella fallet.

32. Slutligen vill den hänskjutande domstolen få klarhet i huruvida artikel 15.1 jämförd med artikel 22.3 i dataskyddsförordningen utgör hinder för en bestämmelse som 4 § 6 DSG, som i princip innebär att den registrerade inte kan göra gällande en rätt till tillgång enligt artikel 15 i dataskyddsförordningen i fall där detta skulle skada den personuppgiftsansvariges eller någon annans företags- eller affärshemlighet.

33. Det är mot den nu angivna bakgrunden som Verwaltungsgericht Wien (Förvaltningsdomstolen i Wien, Österrike) har beslutat att vilandeförklara målet och ställa följande frågor till EU domstolen:

”1) Vilka innehållsmässiga krav måste information uppfylla för att anses vara tillräckligt ’meningsfull’ i den mening som avses i artikel 15.1 h i dataskyddsförordningen? I fall som rör profilering, är den personuppgiftsansvarige i princip skyldig – eventuellt med hänsyn till att det finns en skyddad företagshemlighet – att som en del av tillhandahållandet av information om ’den bakomliggande logiken’ även lämna information som är väsentlig för att kunna förstå resultatet av det automatiserade beslutet i det enskilda fallet, däribland särskilt följande information: 1) Vilka av den registrerades uppgifter som har behandlats. 2) Vilka delar av den algoritm som ligger till grund för profileringen som krävs för att förstå beslutet. 3) Relevant information för att fastställa sambandet mellan den behandlade uppgifterna och den utförda kreditbedömningen? I fall som rör profilering, ska den person som har rätt till tillgång, i den mening som avses i artikel 15.1 h i [dataskyddsförordningen] kunna kräva – även i fall där görs gällande att det finns en skyddad företagshemlighet – att få tillgång till följande information om den specifika personuppgiftsbehandling som berör honom eller henne, för att kunna säkerställa sina rättigheter enligt artikel 22.3 i förordningen:

a) All information – eventuellt i pseudoanonymiserad form – som gör det möjligt att kontrollera att dataskyddsförordningen har efterlevts, särskilt information om hur den registrerades uppgifter har behandlats.

b) Information om vilka indata som använts för profileringen.

c) Information om vilka parametrar och ingångsvariabler som använts vid beräkningen av kreditbetyget.

d) Information om parametrarnas och ingångsvariablernas betydelse för det framräknade kreditbetyget.

e) Information om varifrån parametrarna och ingångsvariablerna har hämtats.

f) Information om skälen till att den person som har rätt till tillgång enligt artikel 15.1 h i dataskyddsförordningen har fått ett visst kreditbetyg samt en redogörelse för vilket utlåtande som är kopplat till detta kreditbetyg.

g) En förteckning över de olika profilkategorierna med en förklaring av vilket utlåtande som är kopplat till var och en av dessa kategorier?

2) Är rätten till tillgång enligt artikel 15.1 h i dataskyddsförordningen kopplad till den i artikel 22 garanterade rätten att uttrycka sin åsikt och bestrida ett automatiserat beslut (artikel 22.3), i så motto att omfattningen av den information som ska lämnas efter en begäran om tillgång enligt artikel 15.1 h i förordningen endast kan anses vara tillräckligt ’meningsfull’ om den som begär ut information, det vill säga den registrerade i den mening som avses i artikel 15.1 h, ges möjlighet att på ett effektivt, grundligt och ändamålsenligt sätt gör gällande den i artikel 22 garanterade rätten att uttrycka sin åsikt och bestrida ett automatiserat beslut som berör honom eller henne (artikel 22.3)?

3)

a) Ska artikel 15.1 h i den allmänna dataskyddsförordningen tolkas på så sätt att det endast kan anses vara fråga om ’meningsfull information’, i den bestämmelsens mening, om informationen är så omfattande att den som har rätt till tillgång i bestämmelsens mening har möjlighet att avgöra huruvida den tillhandahållna informationen överensstämmer med de faktiska förhållandena, det vill säga huruvida det rent faktiskt är denna information som legat till grund för det aktuella automatiserade beslutet?

b) Om fråga 3 a ska besvaras jakande: Vilket tillvägagångssätt ska väljas om riktigheten av den information som en personuppgiftsansvarig har lämnat ut endast går att kontrollera om den som har rätt till tillgång enligt artikel 15.1 h i [dataskyddsförordningen] även ges tillgång till andras personuppgifter som också omfattas av dataskyddsförordningens skydd (så kallad black box)? Kan detta spänningsförhållande mellan rätten till tillgång enligt artikel 15.1 i dataskyddsförordningen och andras dataskyddsrättigheter upplösas genom att de för den ovan nämnda riktighetskontrollen erforderliga personuppgifterna om andra – vilka uppgifter också har använts vid samma profilering – endast lämnas ut till behörig myndighet eller domstol, för att denna myndighet eller domstol självständigt ska kunna kontrollera om de tillhandahållna uppgifterna om andra överensstämmer med de faktiska förhållandena?

c) Om fråga 3 b ska besvaras jakande: Vilka rättigheter ska under alla omständigheter tillerkännas den som har rätt till tillgång enligt artikel 15.1 h i dataskyddsförordningen i fall där det är nödvändigt att säkerställa skyddet av andras rättigheter, i den mening som avses i artikel 15.4 i förordningen, genom att skapa en så kallad black box (se fråga 3 b)? Ska den personuppgiftsansvarige i så fall enbart lämna ut personuppgifter om andra i pseudoanonymiserad form till den som har rätt till tillgång enligt artikel 15.1 h i dataskyddsförordningen för att det ska vara möjligt att kontrollera att beslutsprocessen har gått rätt till i enlighet med artikel 15.1 i förordningen?

4)

a) Vilket tillvägagångssätt ska väljas om den information som ska tillhandahållas enligt artikel 15.1 h i dataskyddsförordningen även uppfyller rekvisiten för företagshemlighet enligt artikel 2.1 i direktiv [2016/943]? Kan spänningsförhållandet mellan rätten till tillgång i artikel 15.1 h i dataskyddsförordningen och rätten att inte röja en företagshemlighet, som skyddas av direktiv 2016/943, upplösas genom att företagshemligheten i den mening som avses i artikel 2.1 i detta direktiv endast lämnas ut till myndigheten eller domstolen, så att denna instans självständigt måste kontrollera om det kan antas föreligga en företagshemlighet i den mening som avses i artikel 2.1 i detta direktiv, och om den information som den personuppgiftsansvarige har lämnat i den mening som avses i artikel 15.1 i dataskyddsförordningen överensstämmer med de faktiska omständigheterna?

b) Om fråga 4 a ska besvaras jakande: Vilka rättigheter ska under alla omständigheter tillerkännas den som har rätt till tillgång enligt artikel 15.1 h i dataskyddsförordningen i fall där det är nödvändigt att säkerställa skyddet av andras rättigheter, i den mening som avses i artikel 15.4 i förordningen, genom att skapa en så kallad black box (se fråga 4 a)? Om det föreligger en brist på överensstämmelse mellan den information som ska lämnas ut till myndigheten eller domstolen och den information som ska lämnas ut till den som har rätt till tillgång enligt artikel 15.1 h i dataskyddsförordningen, ska då [denna person], när det rör sig om ett profileringsärende, under alla omständigheter (även) få tillgång till följande information om den specifika personuppgiftsbehandling som berör honom eller henne, för att kunna säkerställa sina rättigheter enligt artikel 22.3 i förordningen:

All information – eventuellt i pseudoanonymiserad form – som gör det möjligt att kontrollera att dataskyddsförordningen har efterlevts, särskilt information om hur den registrerades uppgifter har behandlats.

Information om vilka indata som använts för profileringen.

Information om vilka parametrar och ingångsvariabler som använts vid beräkningen av kreditbetyget.

Information om parametrarnas och ingångsvariablernas betydelse för det framräknade kreditbetyget,

Information om varifrån parametrarna och ingångsvariablerna har hämtats.

Information om skälen till att den person som har rätt till tillgång enligt artikel 15.1 h i dataskyddsförordningen har fått ett visst kreditbetyg samt en redogörelse för vilket utlåtande som är kopplat till detta kreditbetyg.

En förteckning över de olika profilkategorierna med en förklaring av vilket utlåtande som är kopplat till var och en av dessa kategorier?

5) Begränsar bestämmelsen i artikel 15.4 i dataskyddsförordningen på något sätt omfattningen av den information som ska lämnas enligt artikel 15.1 h i förordningen? Om denna fråga ska besvaras jakande: På vilket sätt begränsar artikel 15.4 i förordningen denna rätt till tillgång, och hur ska begränsningens omfattning i ett sådant fall fastställas?

6) Utgör artikel 15.1 jämförd med artikel 22.3 i dataskyddsförordningen hinder mot en bestämmelse som den i 4 § 6 [DSG], där det anges att ’den registrerades rätt att få tillgång till information enligt artikel 15 i dataskyddsförordningen ska i regel inte föreligga gentemot en personuppgiftsansvarig om tillgång till sådan information skulle resultera i att den personuppgiftsansvariges eller tredje parts företags- eller affärshemligheter röjs’? Om denna fråga ska besvaras nekande: Under vilka förutsättningar är en bestämmelse av detta slag förenlig med nämnda bestämmelser i dataskyddsförordningen?”

Förfarandet vid EU-domstolen

34. Genom beslut av den 8 december 2022 vilandeförklarade domstolens ordförande förevarande mål i avvaktan på det slutliga avgörandet i mål C‑634/21, SCHUFA Holding m.fl. (Scoring).

35. I enlighet med det beslut som domstolens ordförande fattade den 13 december 2023 delgav domstolens kansli den hänskjutande domstolen domen av den 7 december 2023, SCHUFA Holding m.fl. (Scoring) ( C‑634/21, EU:C:2023:957) (nedan kallad SCHUFA II‑domen), och uppmanade den att ange huruvida den, mot bakgrund av den domen, önskade vidhålla sin begäran om förhandsavgörande.

36. Genom skrivelse som inkom till EU-domstolens kansli den 29 januari 2024 uppgav den hänskjutande domstolen att den vidhöll sin begäran om förhandsavgörande, eftersom SCHUFA II‑domen inte gjorde det möjligt att besvara de frågor som den ställt i förevarande mål.

37. Domstolens ordförande beslutade därför den 14 februari 2024 att handläggningen av förevarande mål skulle återupptas.

Prövning av tolkningsfrågorna

Frågorna 1, 2 och 3 a

38. Den hänskjutande domstolen har ställt frågorna 1, 2 och 3 a, vilka ska prövas tillsammans, för att få klarhet i huruvida artikel 15.1 h i dataskyddsförordningen ska tolkas på så sätt att vid automatiserat beslutsfattande, inbegripet profilering, i den mening som avses i artikel 22.1 i förordningen, har den registrerade rätt att kräva att den personuppgiftsansvarige, såsom ”meningsfull information om [den bakomliggande logiken]”, lämnar en uttömmande förklaring av det förfarande och de principer som tillämpas för att på automatisk väg använda den registrerades personuppgifter i syfte att uppnå ett visst resultat, såsom en kreditvärdighetsprofil.

39. EU-domstolen gör i denna del följande bedömning. Av fast rättspraxis framgår att vid tolkningen av en unionsbestämmelse ska inte bara lydelsen beaktas, utan också sammanhanget och de mål som eftersträvas med de föreskrifter som bestämmelsen ingår i (dom av den 4 maj 2023, Österreichische Datenschutzbehörde och CRIF, C‑487/21, EU:C:2023:369, punkt 19 och där angiven rättspraxis).

40. Vad först gäller lydelsen av artikel 15.1 h i dataskyddsförordningen ska följande påpekas angående begreppet ”meningsfull information”, i den bestämmelsens mening. Betydelserna av detta begrepp skiljer sig åt mellan de olika språkversionerna av förordningen. I vissa språkversioner betonas förmågan hos den information som ska lämnas att kunna uppfylla sitt syfte (”utiles” på franska, ”nuttige” på nederländska, ”úteis” på portugisiska) eller informationens relevans (”pertinente” på rumänska), medan tonvikten i andra språkversioner läggs på informationens betydelsefullhet (”significativa” på spanska och ”istotne” på polska). Vad gäller den tyska och den engelska språkversionen kan det ord som används i dessa versioner (”aussagekräftig” respektive ”meaningful”) förstås både som att informationen ska vara lättbegriplig och att den ska vara av en viss kvalitet.

41. Mångfalden av betydelser i de olika språkversionerna ska dock förstås så, att de i föregående punkt angivna innebörderna kompletterar varandra. Såsom generaladvokaten har påpekat i punkt 65 i sitt förslag till avgörande är detta något som ska beaktas vid tolkningen av begreppet ”meningsfull information om [den bakomliggande logiken]”, i den mening som avses i artikel 15.1 h i dataskyddsförordningen.

42. Vidare kan det konstateras att hänvisningen i denna bestämmelse till vad den ”meningsfulla informationen” ska avse, det vill säga ”logiken bakom” ett automatiserat beslutsfattande, är allmänt formulerad. Mot bakgrund av detta måste denna hänvisning anses kunna omfatta ett brett spektrum av olika typer av ”logik” bakom användningen av personuppgifter och andra uppgifter i syfte att på automatiserad väg erhålla ett visst resultat. Denna tolkning vinner stöd av vissa språkversioner av nämnda bestämmelse, vilka använder uttryck som på ett kompletterande sätt avser olika aspekter av den gängse betydelsen av begreppet ”logik”. I den tjeckiska och den polska språkversionen hänvisas exempelvis till begreppen ”postupu” respektive ”zasady”, vilka kan översättas med ”förfarande” respektive ”principer”.

43. EU-domstolen finner således att ordalydelsen i artikel 15.1 h i dataskyddsförordningen avser all relevant information om förfarandet och principerna för användning av personuppgifter på automatiserad väg i syfte att uppnå ett visst resultat.

44. Vad sedan gäller det sammanhang i vilket begreppet ”meningsfull information om [den bakomliggande logiken]” i artikel 15.1 h i dataskyddsförordningen ingår, ska följande påpekas. För det första är denna information endast en del av den information som omfattas av den i artikel 15 angivna rätten till tillgång, eftersom denna rätt även gäller för information om den aktuella personuppgiftsbehandlingens betydelse och förutsedda följder för den registrerade.

45. Nyss nämnda information måste åtföljas av ”verkliga, greppbara exempel” för att vara meningsfull och begriplig, såsom framgår av riktlinjerna om automatiserat individuellt beslutsfattande och profilering enligt förordning (EU) 2016/679, vilka antogs den 3 oktober 2017 av den genom artikel 29 i direktiv 95/46 inrättade arbetsgruppen (senast granskade och antagna den 6 februari 2018) (nedan kallade riktlinjerna om automatiserat beslutsfattande och profilering). Även om den hänskjutande domstolens frågor inte gäller denna information, ska den ändå beaktas som en del av det sammanhang i vilket begreppet ”meningsfull information om [den bakomliggande logiken]” ingår.

46. För det andra kan det konstateras att begreppet ”meningsfull information om [den bakomliggande logiken]” även förekommer i artiklarna 13.2 f och 14.2 g i dataskyddsförordningen. Mot denna bakgrund har EU-domstolen redan slagit fast att vid automatiserat beslutsfattande enligt artikel 22.1 i förordningen, bildar rätten att få tillgång till sådan information enligt artikel 15.1 h i förordningen en helhet tillsammans med de ytterligare informationsskyldigheter som åligger den personuppgiftsansvarige enligt artiklarna 13.2 f och 14.2 g i förordningen (se, för ett liknande resonemang, SCHUFA II‑domen, punkt 56 samt där angiven rättspraxis).

47. För det tredje instämmer EU-domstolen i vad generaladvokaten i huvudsak har anfört i punkterna 58–60 i sitt förslag till avgörande, nämligen att det vid en kontextuell tolkning av de registrerades informationsrättigheter vid automatiserat beslutsfattandes måste tas hänsyn till domstolens praxis om vilka krav som den personuppgiftsansvarige ska uppfylla enligt artikel 15.3 i dataskyddsförordningen.

48. Det ska därmed bland annat beaktas att det i artikel 12.1 i förordningen angivna kravet på öppenhet avseende den tillhandahållna informationen är tillämpligt på alla uppgifter och all information som avses i artikel 15 i förordningen, däribland information som har samband med automatiserat beslutsfattande.

49. Enligt artikel 12.1 i förordningen är den personuppgiftsansvarige skyldig att vidta lämpliga åtgärder bland annat för att se till att nämnda uppgifter och information lämnas till den registrerade i en koncis, transparent, begriplig och lättillgänglig form, med användning av klart och tydligt språk. Detta för att säkerställa att den registrerade ges möjlighet att fullt ut förstå den aktuella informationen (se, för ett liknande resonemang, dom av den 4 maj 2023, Österreichische Datenschutzbehörde och CRIF, C‑487/21, EU:C:2023:369, punkt 38).

50. Det nu anförda innebär följande. Prövningen av det sammanhang i vilket artikel 15.1 h i dataskyddsförordningen ingår ger stöd åt den tolkning som följer av prövningen av denna bestämmelses ordalydelse, det vill säga att uttrycket ”meningsfull information om logiken bakom” ett automatiserat beslutsfattande, i bestämmelsens mening, avser all relevant information om förfarandet och principerna för användning av personuppgifter i syfte att på automatiserad väg uppnå ett visst resultat, varvid kravet på öppenhet dessutom innebär att informationen ska tillhandahållas på ett koncist, transparent, begripligt och lättillgängligt sätt.

51. EU-domstolen övergår slutligen till att behandla de mål som eftersträvas med dataskyddsförordningen. I detta avseende ska det påpekas att ett av dessa mål är att säkerställa en hög skyddsnivå för fysiska personers grundläggande fri- och rättigheter, i synnerhet för deras rätt till skydd av personuppgifter, vilken slås fast i artikel 16 FEUF och utgör en grundläggande rättighet som skyddas enligt artikel 8 i stadgan, som ett komplement till den i artikel 7 fastslagna rätten till privatliv (se, för ett liknande resonemang, dom av den 4 oktober 2024, Schrems (Offentliggörande av uppgifter för allmänheten), C‑446/21, EU:C:2024:834, punkt 45 och där angiven rättspraxis).

52. Dataskyddsförordningen syftar därmed, såsom framgår av dess skäl 11, till att förstärka och specificera de registrerades rättigheter (dom av den 4 maj 2023, Österreichische Datenschutzbehörde och CRIF, C‑487/21, EU:C:2023:369, punkt 33 och där angiven rättspraxis).

53. Vad särskilt gäller den rätt till tillgång som föreskrivs i artikel 15 i dataskyddsförordningen, framgår det av domstolens praxis att denna rätt ska göra det möjligt för den registrerade att försäkra sig om att de personuppgifter som rör honom eller henne är riktiga och att de behandlas på ett lagenligt sätt (dom av den 4 maj 2023, Österreichische Datenschutzbehörde och CRIF, C‑487/21, EU:C:2023:369, punkt 34, och dom av den 26 oktober 2023, FT (Kopior av hälsojournalen), C‑307/22, EU:C:2023:811, punkt 73).

54. Denna rätt till tillgång är nödvändig för att möjliggöra för den registrerade att, i förekommande fall, kunna utöva sin rätt till rättelse, sin rätt till radering (”rätten att bli bortglömd”) och sin rätt till begränsning av behandling, vilka tillerkänns den registrerade i artiklarna 16, 17 respektive 18 i dataskyddsförordningen, liksom sin i artikel 21 i förordningen föreskrivna rätt att göra invändningar mot behandlingen av hans eller hennes personuppgifter, och sin rätt att föra talan till följd av skada, i enlighet med artiklarna 79 och 82 i dataskyddsförordningen (se, för ett liknande resonemang, dom av den 4 maj 2023, Österreichische Datenschutzbehörde och CRIF, C‑487/21, EU:C:2023:369, punkt 35).

55. Vad närmare gäller det specifika sammanhang som avser beslutsfattande grundat enbart på automatiserad behandling av personuppgifter kan följande konstateras. Det huvudsakliga syftet med den registrerades rätt att få tillgång till den i artikel 15.1 h i dataskyddsförordningen angivna informationen är att han eller hon ska ha möjlighet att på ett effektivt sätt utöva sina rättigheter enligt artikel 22.3 i förordningen, det vill säga rätten att uttrycka sin åsikt om beslutet och rätten att bestrida det.

56. Personer som berörs av ett automatiserat beslut, inbegripet profilering, måste nämligen ges möjlighet att förstå på vilka grunder beslutet har fattats innan de uttrycker sin åsikt eller bestrider beslutet, eftersom nämnda rättigheter annars inte fullt ut kan anses uppfylla sitt syfte att skydda enskilda mot de särskilda riskerna för deras rättigheter och friheter vid automatiserad personuppgiftsbehandling (se, för ett liknande resonemang, SCHUFA II‑domen, punkt 57 samt där angiven rättspraxis).

57. I detta avseende framgår av skäl 71 i dataskyddsförordningen att den registrerade ska ha rätt att få en förklaring av ett beslut som fattats enbart på grundval av automatiserad personuppgiftsbehandling och som i betydande grad påverkar honom eller henne. EU-domstolen finner således, i likhet med vad generaladvokaten har påpekat i punkt 67 i sitt förslag till avgörande, att artikel 15.1 h i dataskyddsförordningen ger den registrerade en verklig rätt att få en förklaring av hur mekanismen bakom det automatiserade beslutsfattande som han eller hon varit föremål för fungerar och av det resultat som beslutsfattandet lett fram till.

58. Det framgår av prövningen av dataskyddsförordningens syften, i synnerhet syftena med artikel 15.1 h i förordningen, att rätten att erhålla ”meningsfull information om logiken” bakom automatiserat beslutsfattande, i den bestämmelsens mening, ska förstås som en rätt att få en förklaring av det förfarande och de principer som konkret tillämpats för att på automatiserad väg använda den registrerades personuppgifter i syfte att uppnå ett visst resultat, såsom en kreditvärdighetsprofil. Denna förklaring ska ges med hjälp av relevant information och i en koncis, transparent, begriplig och lättillgänglig form, för att den registrerade på ett effektivt sätt ska kunna utöva sina rättigheter enligt dataskyddsförordningen, i synnerhet enligt artikel 22.3 i förordningen.

59. De nu angivna kraven kan inte uppfyllas genom att enbart ge den registrerade information i form av en komplicerad matematisk formel, såsom en algoritm, och inte heller genom att tillhandahålla en detaljerad beskrivning av alla steg i ett automatiserat beslutsfattande. Detta eftersom inget av dessa sätt kan anses utgöra en tillräckligt koncis och begriplig förklaring.

60. Av sidan 28 i de ovan i punkt 45 nämnda riktlinjerna om automatiserat beslutsfattande och profilering framgår nämligen följande. För det första bör den personuppgiftsansvarige försöka att på ett enkelt sätt förklara de underliggande skälen eller kriterierna för att komma fram till det aktuella beslutet. För det andra kräver dataskyddsförordningen att den personuppgiftsansvarige lämnar meningsfull information om logiken bakom beslutet, men inte att denne ”nödvändigtvis [ger] en komplex förklaring av de algoritmer som används eller [lämnar] ut den fullständiga algoritmen”.

61. Det nu anförda innebär att ”meningsfull information om logiken bakom” automatiserat beslutsfattande, i den mening som avses i artikel 15.1 h i dataskyddsförordningen, ska innehålla en beskrivning av det förfarande och de principer som faktiskt tillämpats vid det aktuella automatiserade beslutsfattandet. Denna beskrivning ska vara av sådant slag att den registrerade kan förstå vilka av hans eller hennes personuppgifter som har använts – och på vilket sätt – i samband med det automatiserade beslutsfattandet. Den personuppgiftsansvarige kan inte för att befria sig från sin förklaringsskyldighet åberopa att automatiserat beslutsfattande innefattar komplicerade processer.

62. Vad närmare gäller en profilering som den nu aktuella skulle den hänskjutande domstolen bland annat kunna anse att kravet på öppenhet och begriplighet är uppfyllt om den registrerade informeras om i vilken utsträckning beaktandet av andra personuppgifter skulle ha lett till ett annat resultat.

63. Med detta sagt ska dock följande precisering göras vad gäller frågan huruvida den information som den personuppgiftsansvarige lämnar ska göra det möjligt för den registrerade att kontrollera riktigheten av de av hans eller hennes personuppgifter som legat till grund för det automatiserade beslutsfattandet. Den registrerades rätt att i det fallet få tillgång till sina personuppgifter följer inte av artikel 15.1 h i dataskyddsförordningen, utan av den inledande meningen i artikel 15.1, som innebär en garanti för den registrerade att kunna förvissa sig om att de behandlade personuppgifter som rör honom eller henne är riktiga (se ovan i punkt 53 angiven rättspraxis).

64. EU-domstolen ska slutligen behandla den hänskjutande domstolens påstående att den information som D & B har lämnat till CK enligt artikel 15.1 h i dataskyddsförordningen inte överensstämmer med de faktiska förhållandena, eftersom den ”faktiska” profileringen ledde till bedömningen att hon inte var kreditvärdig trots att informationen från D & B tydde på motsatsen. I detta avseende ska det påpekas att om den hänskjutande domstolen anser att den konstaterade bristande överensstämmelsen beror på att D & B inte tillhandahållit CK den profilering av henne som bolaget gjort på uppdrag av det mobiltelefoniföretag som, på grundval av nämnda profilering, vägrar att ingå eller förnya ett avtal med henne, så ska denna brist avhjälpas med hjälp av rätten till tillgång till den kreditvärdighetsprofil som skapats genom den ”faktiska” profileringen. Därvid framgår av EU-domstolens praxis att personuppgifter som genererats av den personuppgiftsansvarige själv omfattas av artikel 14 i dataskyddsförordningen (se, för ett liknande resonemang, dom av den 28 november 2024, Másdi, C‑169/23, EU:C:2024:988, punkt 48).

65. En förklaring av skillnaderna mellan resultatet av en ”faktisk” profilering av nyss nämnt slag, om det antas att en sådan har gjorts, och det resultat som D & B har lämnat ut till CK, vilket bolaget påstår att det erhållit genom att ”vikta [uppgifterna om CK] mot varandra på ett likvärdigt sätt”, måste däremot anses ingå i vad som utgör ”meningsfull information om logiken bakom” den på detta sätt utförda profileringen. I enlighet med vad som har påpekats i punkt 58 ovan är D & B således skyldigt att på ett koncist, transparent, begripligt och lättillgängligt sätt förklara det förfarande och de principer som tillämpats för att komma fram till resultatet av den ”faktiska” profileringen.

66. Av det ovan anförda följer att frågorna 1, 2 och 3 a ska besvaras enligt följande. Artikel 15.1 h i dataskyddsförordningen ska tolkas på så sätt att vid automatiserat beslutsfattande, inbegripet profilering, i den mening som avses i artikel 22.1 i förordningen, har den registrerade rätt att kräva att den personuppgiftsansvarige, såsom ”meningsfull information om [den bakomliggande logiken]”, förklarar – med hjälp av relevant information som lämnas i en koncis, transparent, begriplig och lättillgänglig form – vilket förfarande och vilka principer som tillämpats för att på automatisk väg använda den registrerades personuppgifter i syfte att uppnå ett visst resultat, såsom en kreditvärdighetsprofil.

Frågorna 3 b och c, 4 a och b, 5 och 6

67. Den hänskjutande domstolen har ställt frågorna 3 b och c, 4 a och b, 5 och 6, vilka ska prövas tillsammans, för att få klarhet i huruvida artikel 15.1 h i dataskyddsförordningen ska tolkas på så sätt att om den personuppgiftsansvarige anser att den information som ska lämnas till den registrerade i enlighet med denna bestämmelse innehåller andras – av förordningen skyddade – personuppgifter eller att den innehåller företagshemligheter, i den mening som avses i artikel 2.1 i direktiv 2016/943, så är den personuppgiftsansvarige skyldig att överlämna den påstått skyddade informationen till behörig tillsynsmyndighet eller domstol, på vilka det ankommer att göra en avvägning mellan berörda motstående rättigheter och intressen för att fastställa omfattningen av den registrerades rätt till tillgång enligt artikel 15 i dataskyddsförordningen.

68. EU-domstolen gör i denna del följande bedömning. Av skäl 4 i dataskyddsförordningen framgår att rätten till skydd av personuppgifter inte är en absolut rättighet utan måste vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen. Dataskyddsförordningen respekterar således alla grundläggande rättigheter och iakttar de friheter och principer som erkänns i stadgan, vilka är stadfästa i fördragen (dom av den 26 oktober 2023, FT (Kopior av patientjournalen), C‑307/22, EU:C:2023:811, punkt 59 och där angiven rättspraxis).

69. Vidare framgår av skäl 63 i dataskyddsförordningen att den registrerades rätt att få tillgång till de personuppgifter som insamlats om honom eller henne inte bör inverka menligt på andras fri- och rättigheter, däribland företagshemligheter eller immateriell äganderätt, och särskilt inte på upphovsrätt som skyddar programvaran.

70. I samma skäl anges att resultatet av dessa överväganden dock inte bör bli att den registrerade förvägras all information. Det nu redovisade kommer till uttryck i artikel 23.1 i) i dataskyddsförordningen. Enligt denna bestämmelse får tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i bland annat artikel 15 i förordningen endast begränsas om en sådan begränsning sker med respekt för andemeningen i de grundläggande fri- och rättigheterna och utgör en nödvändig och proportionerlig åtgärd i ett demokratiskt samhälle i syfte att säkerställa skydd av andras fri- och rättigheter.

71. Mot bakgrund av den i artikel 15.4 i förordningen angivna närliggande rätten att erhålla en kopia har domstolen redan slagit fast att tillämpningen av denna rätt inte får inverka menligt på andras fri- och rättigheter, däribland företagshemligheter eller immateriell äganderätt, och särskilt inte på upphovsrätt som skyddar programvaran (se, för ett liknande resonemang, dom av den 4 maj 2023, Österreichische Datenschutzbehörde och CRIF, C‑487/21, EU:C:2023:369, punkt 43).

72. Domstolen anförde i detta sammanhang att det vid en eventuell konflikt mellan å ena sidan utövandet av rätten till full och oinskränkt tillgång till personuppgifter och å andra sidan andras fri- och rättigheter ska göras en avvägning mellan de aktuella fri- och rättigheterna. I möjligaste mån ska de former för tillhandahållande av personuppgifter väljas som inte inverkar menligt på andras fri- och rättigheter med beaktande av att resultatet av dessa överväganden, såsom framgår av skäl 63 i dataskyddsförordningen, inte bör ”bli att den registrerade förvägras all information” (se, för ett liknande resonemang, dom av den 4 maj 2023, Österreichische Datenschutzbehörde och CRIF, C‑487/21, EU:C:2023:369, punkt 44).

73. Vad gäller frågan hur rätten till tillgång enligt artikel 15.1 h i dataskyddsförordningen kan genomföras på ett sätt som respekterar andras fri- och rättigheter, framgår av rättspraxis att en nationell domstol kan besluta att en handling som innehåller parternas eller andras personuppgifter ska ges in till den för att den med beaktande av samtliga omständigheter i målet och i enlighet med proportionalitetsprincipen ska kunna göra en avvägning mellan berörda intressen. Denna bedömning kan i förekommande fall föranleda att den nationella domstolen beslutar att de personuppgifter som handlingen innehåller helt eller delvis ska lämnas ut till motparten, om domstolen finner att ett sådant utlämnande inte går utöver vad som är nödvändigt för att säkerställa att parternas rättigheter enligt artikel 47 i stadgan faktiskt upprätthålls (dom av den 2 mars 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, punkt 58).

74. Såsom generaladvokaten har påpekat i punkt 94 i sitt förslag till avgörande är denna rättspraxis helt överförbar på den situationen att informationen som ska lämnas till den registrerade enligt den i artikel 15.1 h i dataskyddsförordningen garanterade rätten till tillgång kan inverka menligt på andras fri- och rättigheter. Det kan bland annat röra sig om att den aktuella informationen innehåller andras – av förordningen skyddade – personuppgifter eller att den innehåller företagshemligheter, i den mening som avses i artikel 2.1 i direktiv 2016/943. Även i den situationen ska den personuppgiftsansvarige ge in nämnda information till behörig tillsynsmyndighet eller domstol, på vilka det ankommer att göra en avvägning mellan berörda motstående rättigheter och intressen för att fastställa i vilken omfattning den registrerade har rätt att få tillgång till de personuppgifter som rör honom eller henne.

75. Mot bakgrund av att detta är något som måste fastställas från fall till fall finner EU-domstolen att artikel 15.1 h i dataskyddsförordningen bland annat utgör hinder för att tillämpa en bestämmelse som 4 § 6 DSG, som innebär att den registrerade i princip inte har rätt att få tillgång till sina personuppgifter enligt artikel 15 i dataskyddsförordningen, om detta skulle skada den personuppgiftsansvariges eller någon annans företags- eller affärshemlighet. I detta avseende ska det påpekas att en medlemsstat inte har rätt att slutgiltigt ange vad resultatet av en enligt unionsrätten erforderlig avvägning från fall till fall mellan berörda motstående rättigheter och intressen blir (se, för ett liknande resonemang, SCHUFA II‑domen, punkt 70 samt där angiven rättspraxis).

76. Av det ovan anförda följer att frågorna 3 b och c, 4 a och b, 5 och 6 ska besvaras enligt följande. Artikel 15.1 h i dataskyddsförordningen ska tolkas på så sätt att om den personuppgiftsansvarige anser att den information som ska lämnas till den registrerade i enlighet med denna bestämmelse innehåller andras – av förordningen skyddade – personuppgifter eller att den innehåller företagshemligheter, i den mening som avses i artikel 2.1 i direktiv 2016/943, så är den personuppgiftsansvarige skyldig att överlämna den påstått skyddade informationen till behörig tillsynsmyndighet eller domstol, på vilka det ankommer att göra en avvägning mellan berörda motstående rättigheter och intressen för att fastställa omfattningen av den registrerades rätt till tillgång enligt artikel 15 i dataskyddsförordningen.

Rättegångskostnader

77. Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

Mot denna bakgrund beslutar domstolen (första avdelningen) följande:

1) Artikel 15.1 h i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ska tolkas enligt följande: Vid automatiserat beslutsfattande, inbegripet profilering, i den mening som avses i artikel 22.1 i förordningen, har den registrerade rätt att kräva att den personuppgiftsansvarige, såsom ”meningsfull information om [den bakomliggande logiken]”, förklarar – med hjälp av relevant information som lämnas i en koncis, transparent, begriplig och lättillgänglig form – vilket förfarande och vilka principer som tillämpats för att på automatisk väg använda den registrerades personuppgifter i syfte att uppnå ett visst resultat, såsom en kreditvärdighetsprofil.

2) Artikel 15.1 h i förordning 2016/679 ska tolkas enligt följande: Om den personuppgiftsansvarige anser att den information som ska lämnas till den registrerade i enlighet med denna bestämmelse innehåller andras – av förordningen skyddade – personuppgifter eller att den innehåller företagshemligheter, i den mening som avses i artikel 2.1 i Europaparlamentets och rådets direktiv (EU) 2016/943 av den 8 juni 2016 om skydd mot att icke röjd know-how och företagsinformation (företagshemligheter) olagligen anskaffas, utnyttjas och röjs, så är den personuppgiftsansvarige skyldig att överlämna den påstått skyddade informationen till behörig tillsynsmyndighet eller domstol, på vilka det ankommer att göra en avvägning mellan berörda motstående rättigheter och intressen för att fastställa omfattningen av den registrerades rätt till tillgång enligt artikel 15 i dataskyddsförordningen.

1 Rättegångsspråk: tyska.