CK tegen Magistrat der Stadt Wien

• 1.

  Dit verzoek om een prejudiciële beslissing betreft de uitlegging van, ten eerste, artikel 15, lid 1, onder h), en lid 4, alsmede artikel 22 van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2, en PB 2021, L 74, blz. 35; hierna: „AVG”) en, ten tweede, artikel 2, punt 1, van richtlijn (EU) 2016/943 van het Europees Parlement en de Raad van 8 juni 2016 betreffende de bescherming van niet-openbaar gemaakte knowhow en bedrijfsinformatie (bedrijfsgeheimen) tegen het onrechtmatig verkrijgen, gebruiken en openbaar maken daarvan (PB 2016, L 157, blz. 1).

• 2.

  Dit verzoek is ingediend in het kader van een geding tussen CK en de Magistrat der Stadt Wien (gemeentebestuur van de stad Wenen, Oostenrijk) over de gedwongen tenuitvoerlegging van een rechterlijke beslissing waarbij Bisnode Austria GmbH, thans Dun & Bradstreet Austria GmbH (hierna: „D & B”), een onderneming die gespecialiseerd is in het verstrekken van kredietratings, wordt gelast om CK nuttige informatie te verstrekken over de onderliggende logica van een profilering op basis van haar persoonsgegevens.

   AVG

 Unierecht

• 3.

  De overwegingen 4, 11, 58, 63 en 71 AVG luiden:

  „(4)      De verwerking van persoonsgegevens moet ten dienste van de mens staan. Het recht op bescherming van persoonsgegevens heeft geen absolute gelding, maar moet worden beschouwd in relatie tot de functie ervan in de samenleving en moet conform het evenredigheidsbeginsel tegen andere grondrechten worden afgewogen. Deze verordening eerbiedigt alle grondrechten alsook de vrijheden en beginselen die zijn erkend in het [Handvest van de grondrechten van de Europese Unie (hierna: „Handvest”)] zoals dat in de Verdragen is verankerd, met name de eerbiediging van het privéleven en het familie- en gezinsleven, woning en communicatie, de bescherming van persoonsgegevens, de vrijheid van gedachte, geweten en godsdienst, de vrijheid van meningsuiting en van informatie, de vrijheid van ondernemerschap, het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht, en het recht op culturele, godsdienstige en taalkundige verscheidenheid.

  [...]

  (11)      Doeltreffende bescherming van persoonsgegevens in de gehele Unie vereist de versterking en nadere omschrijving van de rechten van betrokkenen en van de verplichtingen van degenen die persoonsgegevens verwerken en van degenen die over die verwerking beslissen, alsmede gelijkwaardige bevoegdheden op het gebied van toezicht en handhaving van de regels inzake gegevensbescherming en vergelijkbare sancties voor overtredingen in de lidstaten.

  [...]

  (58)      Overeenkomstig het transparantiebeginsel moet informatie die bestemd is voor het publiek of voor de betrokkene beknopt, eenvoudig toegankelijk en begrijpelijk zijn en moet duidelijke en eenvoudige taal en, in voorkomend geval, aanvullend visualisatie worden gebruikt. [...]

  [...]

  (63)      Een betrokkene moet het recht hebben om de persoonsgegevens die over hem zijn verzameld, in te zien, en om dat recht eenvoudig en met redelijke tussenpozen uit te oefenen, zodat hij zich van de verwerking op de hoogte kan stellen en de rechtmatigheid daarvan kan controleren. [...] Dat recht mag geen afbreuk doen aan de rechten of vrijheden van anderen, met inbegrip van het zakengeheim of de intellectuele eigendom en met name aan het auteursrecht dat de software beschermt. Die overwegingen mogen echter niet ertoe leiden dat de betrokkene alle informatie wordt onthouden. [...]

  [...]

  (71)      De betrokkene dient het recht te hebben niet te worden onderworpen aan een louter op geautomatiseerde verwerking gebaseerd besluit, dat een maatregel kan behelzen [...] over persoonlijke hem betreffende aspecten, waaraan voor hem rechtsgevolgen zijn verbonden of dat hem op vergelijkbare wijze aanmerkelijk treft, zoals de automatische weigering van een online ingediende kredietaanvraag of [de] verwerking van sollicitaties via internet zonder menselijke tussenkomst. Een verwerking van die aard omvat ‚profilering’, wat bestaat in de geautomatiseerde verwerking van persoonsgegevens ter beoordeling van persoonlijke aspecten van een natuurlijke persoon, met name om kenmerken betreffende beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren of interesses, betrouwbaarheid of gedrag, locatie of verplaatsingen van de betrokkene te analyseren of te voorspellen, wanneer daaraan voor hem rechtsgevolgen zijn verbonden of [die] hem op vergelijkbare wijze aanmerkelijk treft. [...] In ieder geval moeten voor dergelijke verwerking passende waarborgen worden geboden, waaronder specifieke informatie aan de betrokkene en het recht op menselijke tussenkomst, om zijn standpunt kenbaar te maken, om uitleg over [het] na een dergelijke beoordeling genomen besluit te krijgen en om het besluit aan te vechten. [...]”

• 4.

  Artikel 4 („Definities”) van die verordening bepaalt in punt 4:

  „Voor de toepassing van deze verordening wordt verstaan onder:

  [...]

  4)      ‚profilering’: elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een natuurlijke persoon worden geëvalueerd, met name met de bedoeling zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen”.

• 5.

  Artikel 12 („Transparante informatie, communicatie en nadere regels voor de uitoefening van de rechten van de betrokkene”) van die verordening bepaalt in lid 1:

  „De verwerkingsverantwoordelijke neemt passende maatregelen opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is. [...]”

• 6.

  Artikel 13 van die verordening, dat betrekking heeft op te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld, en artikel 14, dat betrekking heeft op te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen, bepalen in respectievelijk lid 2, onder f), en lid 2, onder g), dat de verwerkingsverantwoordelijke de betrokkene, teneinde ten aanzien van hem een behoorlijke en transparante verwerking te waarborgen, met name informatie verstrekt over „het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene”.

• 7.

  In artikel 15 AVG, met als opschrift „Recht van inzage van de betrokkene”, staat het volgende te lezen:

  „1.      De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:

  [...]

  h)      het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.

  [...]

  3.      De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, kan de verwerkingsverantwoordelijke op basis van de administratieve kosten een redelijke vergoeding aanrekenen. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt.

  4.      Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen.”

• 8.

  Artikel 22 („Geautomatiseerde individuele besluitvorming, waaronder profilering”) van die verordening luidt:

  „1.      De betrokkene heeft het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft.

  2.      Lid 1 geldt niet indien het besluit:

  a)      noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst tussen de betrokkene en een verwerkingsverantwoordelijke;

  b)      is toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is en die ook voorziet in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene; of

  c)      berust op de uitdrukkelijke toestemming van de betrokkene.

  3.      In de in lid 2, punten a) en c), bedoelde gevallen treft de verwerkingsverantwoordelijke passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene, waaronder ten minste het recht op menselijke tussenkomst van de verwerkingsverantwoordelijke, het recht om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten.

  4.      De in lid 2 bedoelde besluiten worden niet gebaseerd op de in artikel 9, lid 1, bedoelde bijzondere categorieën van persoonsgegevens, tenzij artikel 9, lid 2, punt a) of g), van toepassing is en er passende maatregelen ter bescherming van de gerechtvaardigde belangen van de betrokkene zijn getroffen.”

• 9.

  In artikel 23 van die verordening, met als opschrift „Beperkingen”, wordt bepaald:

  „1.      De reikwijdte van de verplichtingen en rechten als bedoeld in de artikelen 12 tot en met 22 en artikel 34, alsmede artikel 5 voor zover de bepalingen van dat artikel overeenkomen met de rechten en verplichtingen als bedoeld in de artikelen 12 tot en met 22, kan door middel van een Unierechtelijke of lidstaatrechtelijke wetgevingsmaatregel die op de verwerkingsverantwoordelijke of de verwerker van toepassing is worden beperkt, op voorwaarde dat die beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van:

  [...]

  i)      de bescherming van de betrokkene of van de rechten en vrijheden van anderen;

  [...]

  2.      De in lid 1 bedoelde wetgevingsmaatregel bevat met name specifieke bepalingen met betrekking tot, in voorkomend geval, ten minste:

  a)      de doeleinden van de verwerking of van de categorieën van verwerking,

  b)      de categorieën van persoonsgegevens,

  c)      het toepassingsgebied van de ingevoerde beperkingen,

  d)      de waarborgen ter voorkoming van misbruik of onrechtmatige toegang of doorgifte,

  e)      de specificatie van de verwerkingsverantwoordelijke of de categorieën van verwerkingsverantwoordelijken,

  f)      de opslagperiodes en de toepasselijke waarborgen, rekening houdend met de aard, de omvang en de doeleinden van de verwerking of van de categorieën van verwerking,

  g)      de risico’s voor de rechten en vrijheden van de betrokkenen, en

  h)      het recht van betrokkenen om van de beperking op de hoogte te worden gesteld, tenzij dit afbreuk kan doen aan het doel van de beperking.”

• 10.

  Artikel 54 AVG, met als opschrift „Regels inzake de oprichting van de toezichthoudende autoriteit”, bepaalt in lid 2:

  „Ten aanzien van de vertrouwelijke informatie die hun bij de uitvoering van hun taken of de uitoefening van hun bevoegdheden ter kennis is gekomen, geldt voor het lid of de leden en de personeelsleden van elke toezichthoudende autoriteit zowel tijdens hun ambtstermijn als daarna het beroepsgeheim, zulks overeenkomstig Unierecht of lidstatelijk recht. Tijdens hun ambtstermijn geldt het beroepsgeheim met name voor meldingen van inbreuken op deze verordening door natuurlijke personen.”

• 11.

  Artikel 58 AVG („Bevoegdheden”) bepaalt in lid 1, onder e):

  „Elk toezichthoudende autoriteit heeft alle volgende onderzoeksbevoegdheden om:

  [...]

  e)      van de verwerkingsverantwoordelijke en de verwerker toegang te verkrijgen tot alle persoonsgegevens en alle informatie die noodzakelijk is voor de uitvoering van haar taken”.

   Richtlijn 2016/943

• 12.

  Overweging 35 van richtlijn 2016/943 luidt:

  „[...] Deze richtlijn mag [...] geen afbreuk doen aan de rechten en verplichtingen die zijn vastgesteld in [richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31)], in het bijzonder de rechten van degene wiens persoonsgegevens worden verwerkt op toegang tot die persoonsgegevens en op rectificatie, uitwissing of afscherming van onjuiste of onvolledige gegevens [...].”

• 13.

  In artikel 2, punt 1, van die richtlijn wordt bepaald:

  „In deze richtlijn wordt verstaan onder:

  1)      ‚bedrijfsgeheim’: informatie die aan de volgende cumulatieve voorwaarden voldoet:

  a)      de informatie is geheim in die zin dat zij, in haar geheel dan wel in de juiste samenstelling en ordening van haar bestanddelen, niet algemeen bekend is bij of gemakkelijk toegankelijk is voor personen binnen de kringen die zich gewoonlijk bezighouden met de desbetreffende soort informatie;

  b)      de informatie bezit handelswaarde omdat zij geheim is, en

  c)      de informatie is door de persoon die rechtmatig daarover beschikt onderworpen aan redelijke maatregelen, gezien de omstandigheden, om deze geheim te houden”.

• 14.

  Artikel 9 van die richtlijn, met als opschrift „Het bewaren van de vertrouwelijkheid van bedrijfsgeheimen tijdens gerechtelijke procedures”, luidt:

  „1.      De lidstaten dragen er zorg voor dat de partijen, hun advocaten of andere vertegenwoordigers, gerechtsfunctionarissen, getuigen, deskundigen en alle andere personen die deelnemen aan gerechtelijke procedures betreffende het onrechtmatig verkrijgen, gebruiken of openbaar maken van een bedrijfsgeheim, of die toegang hebben tot de documenten die deel uitmaken van deze gerechtelijke procedures, geen bedrijfsgeheimen of vermeende bedrijfsgeheimen mogen gebruiken of openbaar maken die de bevoegde rechterlijke instanties, op een deugdelijk gemotiveerd verzoek van een belanghebbende partij, als vertrouwelijk hebben aangemerkt en die hun ter kennis zijn gekomen als gevolg van een dergelijke deelname of toegang. Lidstaten kunnen ook toestaan dat de bevoegde rechterlijke instanties dergelijke maatregelen op eigen initiatief nemen.

  De in de eerste alinea genoemde verplichting blijft van kracht na beëindiging van de gerechtelijke procedures. Deze verplichting houdt evenwel op te bestaan in elk van de volgende situaties:

  a)      wanneer bij definitieve beslissing is vastgesteld dat het vermeende bedrijfsgeheim niet voldoet aan de in artikel 2, punt 1), bepaalde voorwaarden, of

  b)      wanneer na verloop van tijd de desbetreffende informatie algemeen bekend wordt bij of gemakkelijk toegankelijk wordt voor personen binnen de kringen die zich gewoonlijk bezighouden met de desbetreffende soort informatie.

  2.      De lidstaten dragen er ook zorg voor dat de bevoegde rechterlijke instanties, op een met voldoende redenen omkleed verzoek van een partij, specifieke maatregelen kunnen nemen die nodig zijn om de vertrouwelijkheid te bewaren van een bedrijfsgeheim of een vermeend bedrijfsgeheim dat tijdens de gerechtelijke procedure betreffende het onrechtmatig verkrijgen, gebruiken of openbaar maken van een bedrijfsgeheim wordt gebruikt of genoemd. Lidstaten kunnen ook toestaan dat de bevoegde rechterlijke instanties dergelijke maatregelen op eigen initiatief nemen.

  De in de eerste alinea genoemde maatregelen omvatten minstens de mogelijkheid om:

  a)      de toegang tot de documenten die bedrijfsgeheimen of vermeende bedrijfsgeheimen bevatten die de partijen of derden hebben ingediend, volledig of gedeeltelijk te beperken tot een gelimiteerd aantal personen;

  b)      de toegang tot hoorzittingen waarin die bedrijfsgeheimen of vermeende bedrijfsgeheimen openbaar kunnen worden gemaakt, en tot de verslagen of afschriften van deze hoorzittingen, te beperken tot een beperkt aantal personen;

  c)      een niet-vertrouwelijke versie van rechterlijke uitspraken ter beschikking te stellen aan anderen dan degenen die tot het beperkt aantal personen bedoeld onder a) en b) behoren, waarin de delen die de bedrijfsgeheimen bevatten, zijn geschrapt of bewerkt.

  Het in de tweede alinea, onder a) en b), bedoelde aantal personen is niet groter dan nodig is om ervoor te zorgen dat wordt voldaan aan het recht voor de partijen bij de gerechtelijke procedure op een doeltreffende voorziening in rechte en op een eerlijk proces, en omvat ten minste één natuurlijk persoon van elke partij alsmede de respectieve advocaten of andere vertegenwoordigers van deze partijen bij de gerechtelijke procedure.

  3.      Wanneer de bevoegde rechterlijke instanties beslissen over de in lid 2 bedoelde maatregelen en zij de evenredigheid ervan beoordelen, dan nemen zij het waarborgen van [het] recht op een doeltreffende voorziening en op een eerlijk proces in acht, alsmede de rechtmatige belangen van de partijen en, indien van toepassing, van derden, alsook de mogelijke schade voor een van de partijen en, indien van toepassing, voor derden, als gevolg van het bevelen of afwijzen van dergelijke maatregelen.

  4.      Het verwerken van persoonsgegevens krachtens de leden 1, 2 of 3 vindt plaats in overeenstemming met [richtlijn 95/46].”

 Oostenrijks recht

• 15.

  § 4, lid 6, van het Datenschutzgesetz (wet inzake gegevensbescherming) van 17 augustus 1999 (BGBl. I, 165/1999), in de op het hoofdgeding toepasselijke versie (hierna: „DSG”), sluit de in artikel 15 AVG bedoelde inzage van de betrokkene in zijn persoonsgegevens in beginsel uit wanneer die inzage afbreuk doet aan de vertrouwelijkheid van commerciële of industriële informatie van de verwerkingsverantwoordelijke of een derde.

 Hoofdgeding en prejudiciële vragen

• 16.

  Een telecomprovider heeft geweigerd om voor CK een overeenkomst voor mobiele telefonie, waarvoor maandelijks 10 EUR zou moeten worden betaald, te sluiten of te verlengen op grond dat laatstgenoemde volgens een geautomatiseerde kredietbeoordeling van D & B niet voldoende kredietwaardig was.

• 17.

  CK heeft zich gewend tot de Oostenrijkse autoriteit voor gegevensbescherming, die D & B heeft gelast om CK nuttige informatie te verstrekken over de logica die ten grondslag ligt aan de geautomatiseerde besluitvorming op basis van haar persoonsgegevens.

• 18.

  D & B is tegen het besluit van die autoriteit opgekomen bij het Bundesverwaltungsgericht (federale bestuursrechter in eerste aanleg, Oostenrijk), waarbij deze onderneming in wezen heeft aangevoerd dat zij vanwege een beschermd bedrijfsgeheim CK geen aanvullende informatie hoefde te verstrekken naast de informatie die haar reeds was verstrekt.

• 19.

  Bij beslissing van 23 oktober 2019 (hierna: „beslissing van 23 oktober 2019”) heeft die rechter vastgesteld dat D & B artikel 15, lid 1, onder h), AVG had geschonden door CK geen nuttige informatie te verstrekken over de onderliggende logica van de geautomatiseerde besluitvorming op basis van de persoonsgegevens van CK, of althans door onvoldoende te motiveren waarom zij die informatie niet kon verstrekken.

• 20.

  Het Bundesverwaltungsgericht heeft er bij die beslissing met name op gewezen dat D & B onvoldoende uitleg aan CK had gegeven om te kunnen begrijpen op welke manier zij was gekomen tot de voorspelling van de waarschijnlijkheid van het toekomstige gedrag van CK („score”), welke score die onderneming aan CK had meegedeeld met de precisering dat ter verkrijging van die score aan een aantal sociaal-demografische gegevens van CK „telkens hetzelfde gewicht was toegekend”.

• 21.

  De beslissing van 23 oktober 2019 is definitief geworden en is naar Oostenrijks recht uitvoerbaar. Niettemin is het verzoek tot gedwongen tenuitvoerlegging van die beslissing, dat CK bij het gemeentebestuur van de stad Wenen, de uitvoerende autoriteit, had ingediend, afgewezen op grond van de overweging dat D & B voldoende aan haar informatieplicht had voldaan, ook al had die onderneming geen aanvullende informatie verstrekt nadat die beslissing was gegeven.

• 22.

  CK heeft bij het Verwaltungsgericht Wien (bestuursrechter in eerste aanleg Wenen, Oostenrijk), de verwijzende rechter, beroep ingesteld tegen het besluit van het gemeentebestuur van de stad Wenen teneinde de gedwongen tenuitvoerlegging van de beslissing van 23 oktober 2019 te verkrijgen.

• 23.

  Volgens de verwijzende rechter is hij op grond van het Oostenrijkse recht verplicht is om die beslissing ten uitvoer te doen leggen, hetgeen impliceert dat moet worden vastgesteld welke concrete stappen D & B uit hoofde van die beslissing moet ondernemen.

• 24.

  Aangezien dat zijns inziens enkel kon worden vastgesteld door een deskundige die over de vereiste bekwaamheid beschikt, heeft hij een deskundige aangesteld. Deze heeft geconcludeerd dat D & B, ter voldoening aan haar verplichtingen jegens CK, minimaal de volgende informatie dient te verstrekken:

  –        de persoonsgegevens van CK die zijn verwerkt om tot een „factor” te komen (geboortedatum, adres, geslacht, enz.);

  –        de wiskundige formule die ten grondslag ligt aan de berekening die tot de in het hoofdgeding aan de orde zijnde score heeft geleid;

  –        de concrete waarde die aan CK is toegekend voor elk van de betrokken factoren, en

  –        de precieze intervallen waarbinnen dezelfde waarde is toegekend aan verschillende gegevens voor dezelfde factor (interval- of discrete beoordeling of index-/kadastergebaseerde beoordeling).

• 25.

  Om ervoor te zorgen dat CK na het verstrekken van die minimale informatie de juistheid ervan kan verifiëren, dient D & B tevens een lijst te verstrekken met daarop de op basis van hetzelfde rekenvoorschrift verkregen „scores” van personen („scoring”) voor de periode van zes maanden vóór en zes maanden na de vaststelling van de score van CK.

• 26.

  Volgens de verwijzende rechter kan de samenhang en juistheid van de door een verwerkingsverantwoordelijke krachtens artikel 15, lid 1, onder h), AVG verstrekte informatie alleen worden nagegaan wanneer de door die deskundige vastgestelde minimale informatie wordt meegedeeld.

• 27.

  In casu zijn er verschillende aanwijzingen waaruit duidelijk blijkt dat de door D & B verstrekte informatie feitelijk niet juist is. Ofschoon de aan CK meegedeelde informatie, waaronder met name de behaalde score, getuigde van de hoge kredietwaardigheid van CK, had de feitelijke profilering immers tot de conclusie geleid dat zij niet kredietwaardig was, ook niet wanneer het gaat om de betaling van een bedrag van 10 EUR per maand in het kader van een overeenkomst voor mobiele telefonie.

• 28.

  Volgens de verwijzende rechter rijst dus de vraag of artikel 15, lid 1, onder h), AVG de betrokkene waarborgt dat hij de juistheid van de door de verwerkingsverantwoordelijke meegedeelde informatie kan verifiëren.

• 29.

  Indien artikel 15, lid 1, onder h), AVG die verificatie niet waarborgt, zou het recht van inzage in de persoonsgegevens van de betrokkene en in andere informatie waarin dat artikel voorziet, volkomen zinloos en overbodig zijn, temeer daar elke verwerkingsverantwoordelijke in dat geval onjuiste informatie zou kunnen verstrekken.

• 30.

  Tevens rijst de vraag of en, in voorkomend geval, in welke mate dat door artikel 15, lid 1, onder h), juncto artikel 22 AVG gewaarborgde recht van inzage door de uitzondering met betrekking tot het bestaan van een bedrijfsgeheim kan worden beperkt.

• 31.

  In het licht van de voorschriften van artikel 9 van richtlijn 2016/943 moet worden beoordeeld of het denkbaar zou zijn dat de als „bedrijfsgeheim” in de zin van artikel 2, punt 1, van die richtlijn aangemerkte informatie alleen kan worden meegedeeld aan de aangezochte autoriteit of rechter, zodat deze onafhankelijk nagaat of er redenen zijn om aan te nemen dat er daadwerkelijk sprake is van een bedrijfsgeheim daadwerkelijk bestaat, en of die overeenkomstig artikel 15, lid 1, AVG door de verwerkingsverantwoordelijke verstrekte informatie de betrokken situatie juist weergeeft.

• 32.

  Ten slotte moet worden onderzocht of een bepaling als § 4, lid 6, DSG, die het in artikel 15 AVG neergelegde recht van inzage van de betrokkene in beginsel uitsluit wanneer die inzage een bedrijfsgeheim van de verwerkingsverantwoordelijke of een derde in gevaar zou brengen, kan worden geacht in overeenstemming te zijn met artikel 15, lid 1, juncto artikel 22, lid 3, AVG.

• 33.

  In die omstandigheden heeft het Verwaltungsgericht Wien de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:

  „1)      Aan welke inhoudelijke vereisten moet een verstrekte inlichting voldoen om te kunnen worden aangemerkt als voldoende ‚nuttig’ in de zin van artikel 15, lid 1, onder h), [AVG]?

  Moet – eventueel met inachtneming van een bestaand bedrijfsgeheim – in het geval van profilering door de verwerkingsverantwoordelijke in het kader van de openbaarmaking van de ‚onderliggende logica’ in beginsel ook de informatie worden verstrekt die van essentieel belang is om het resultaat van de geautomatiseerde besluitvorming in het individuele geval begrijpelijk te maken, zoals met name 1) de verwerkte gegevens van de betrokkene, 2) de delen van het aan de profilering ten grondslag liggende algoritme die noodzakelijk zijn voor de begrijpelijkheid, en 3) de relevante informatie waaruit het verband tussen de verwerkte informatie en de beoordeling daarvan blijkt?

  Moet, ook wanneer het bestaan van een bedrijfsgeheim wordt tegengeworpen, in gevallen waarin wordt gebruikgemaakt van profilering, aan de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), [AVG] hoe dan ook de volgende informatie over de specifiek op hem betrekking hebbende verwerking worden verstrekt teneinde hem in staat te stellen om de hem krachtens artikel 22, lid 3, van die verordening toekomende rechten uit te oefenen:

  a)      alle eventueel gepseudonimiseerde informatie, met name over de wijze van verwerking van de gegevens van de betrokkene, aan de hand waarvan kan worden nagegaan of de [AVG] wordt nageleefd;

  b)      informatie over de voor de profilering gebruikte invoergegevens;

  c)      informatie over de parameters en invoervariabelen die zijn gebruikt om de beoordeling te verrichten;

  d)      informatie over de invloed van deze parameters en invoervariabelen op de verrichte beoordeling;

  e)      informatie over de totstandkoming van de parameters en invoervariabelen;

  f)       informatie over de reden waarom aan de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), [AVG] een bepaald beoordelingsresultaat is toegekend en over de aan deze beoordeling verbonden conclusie;

  g)      opsomming van de profielcategorieën en informatie over de beoordelingsconclusie die met elk van de profielcategorieën is verbonden?

  2)      Bestaat er tussen enerzijds het bij artikel 15, lid 1, onder h), [AVG] toegekende recht van inzage en anderzijds het door artikel 22, lid 3, van deze verordening gewaarborgde recht om het eigen standpunt kenbaar te maken en het geautomatiseerde besluit aan te vechten in zoverre een verband dat de omvang van de op grond van een verzoek om inzage in de zin van artikel 15, lid 1, onder h), [AVG] te verstrekken informatie enkel voldoende ‚nuttig’ is wanneer de om inzage verzoekende betrokkene in de zin van artikel 15, lid 1, onder h), van deze verordening in staat wordt gesteld om daadwerkelijk, diepgaand en met kans van slagen de rechten uit te oefenen die hem worden gegarandeerd door artikel 22, lid 3, van die verordening, te weten het recht om zijn eigen standpunt kenbaar te maken en om het op hem betrekking hebbende geautomatiseerde besluit als bedoeld in artikel 22 [AVG] aan te vechten?

  3)      a)      Moet artikel 15, lid 1, onder h), [AVG] aldus worden uitgelegd dat er slechts van ‚nuttige informatie’ in de zin van deze bepaling sprake is wanneer deze informatie zo uitgebreid is dat de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), [AVG] kan nagaan of deze informatie ook overeenstemt met de feiten, dat wil zeggen of het specifiek opgevraagde geautomatiseerde besluit ook daadwerkelijk berust op de verstrekte informatie?

  b)      Zo ja, hoe moet er worden gehandeld wanneer de door een verwerkingsverantwoordelijke verstrekte informatie slechts kan worden geverifieerd indien ook door de [AVG] beschermde gegevens van derden ter kennis van de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), van deze verordening worden gebracht (black box)?

  Kan dit spanningsveld tussen het recht van inzage in de zin van artikel 15, lid 1, [AVG] en het recht op gegevensbescherming van derden ook worden opgeheven doordat de voor de verificatie vereiste gegevens van derden die aan dezelfde profilering zijn onderworpen, uitsluitend aan de bevoegde autoriteit of rechter worden verstrekt, zodat deze onafhankelijk dient na te gaan of de verstrekte gegevens van die derden feitelijk juist zijn?

  c)      Zo ja, welke rechten moeten de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), [AVG] hoe dan ook worden toegekend indien de bescherming van de rechten van anderen in de zin van artikel 15, lid 4, van deze verordening moet worden gewaarborgd door het inrichten van een black box als bedoeld in de derde vraag, onder b)?

  Moeten in dit geval aan de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), [AVG] ten minste, in gepseudonimiseerde vorm, de gegevens van anderen worden verstrekt die de verwerkingsverantwoordelijke in de zin van artikel 15, lid 1, van die verordening dient te verstrekken om de verificatie van de juistheid van de besluitvorming mogelijk te maken?

  4)      a)      Hoe moet er worden gehandeld wanneer de op grond van artikel 15, lid 1, onder h), [AVG] te verstrekken informatie ook voldoet aan de voorwaarden waaronder er sprake is van een bedrijfsgeheim in de zin van artikel 2, punt 1, van [richtlijn 2016/943]?

  Kan dit spanningsveld tussen het door artikel 15, lid 1, onder h), [AVG] gewaarborgde recht van inzage en het door [richtlijn 2016/943] beschermde recht op niet-openbaarmaking van bedrijfsgeheimen worden opgeheven door de als bedrijfsgeheim in de zin van artikel 2, punt 1, van [richtlijn 2016/943] aan te merken informatie uitsluitend te verstrekken aan de bevoegde autoriteit of rechter, zodat deze onafhankelijk dient na te gaan of er sprake is van een bedrijfsgeheim als bedoeld in die bepaling van [richtlijn 2016/943] en of de door de verwerkingsverantwoordelijke in de zin van artikel 15, lid 1, [AVG] verstrekte informatie feitelijk juist is?

  b)      Zo ja, welke rechten moeten de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), [AVG] hoe dan ook worden toegekend indien de bescherming van de rechten van anderen in de zin van artikel 15, lid 4, van deze verordening moet worden gewaarborgd door het inrichten van een black box als bedoeld in de vierde vraag onder a)?

  Moet (eveneens) in dit geval, waarin er sprake is van een discrepantie tussen de aan de bevoegde autoriteit of rechter te verstrekken informatie en de aan de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), [AVG] te verstrekken informatie, wanneer wordt gebruikgemaakt van profilering, aan die inzagegerechtigde hoe dan ook de volgende informatie over de specifiek op hem betrekking hebbende verwerking worden verstrekt teneinde hem volledig in staat te stellen om de hem krachtens artikel 22, lid 3, van die verordening toekomende rechten uit te oefenen:

  –        alle eventueel gepseudonimiseerde informatie, met name over de wijze van verwerking van de gegevens van de betrokkene, aan de hand waarvan kan worden nagegaan of de [AVG] wordt nageleefd;

  –        informatie over de voor de profilering gebruikte invoergegevens;

  –        informatie over de parameters en invoervariabelen die zijn gebruikt om de beoordeling te verrichten;

  –        informatie over de invloed van deze parameters en invoervariabelen op de verrichte beoordeling;

  –        informatie over de totstandkoming van de parameters en invoervariabelen;

  –        informatie over de reden waarom aan de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), [AVG] een bepaald beoordelingsresultaat is toegekend en over de aan deze beoordeling verbonden conclusie;

  –        opsomming van de profielcategorieën en informatie over de beoordelingsconclusie die met elk van de profielcategorieën is verbonden?

  5)      Wordt de omvang van de op grond van artikel 15, lid 1, onder h), [AVG] te verstrekken informatie op enigerlei wijze beperkt door artikel 15, lid 4, van deze verordening?

  Zo ja, op welke wijze wordt dit recht van inzage door artikel 15, lid 4, van die verordening beperkt en hoe moet in het concrete geval de omvang van deze beperking worden vastgesteld?

  6)      Is § 4, lid 6, [DSG], waarin is bepaald dat ‚[h]et recht van inzage dat de betrokkene krachtens artikel 15 [AVG] heeft jegens een verwerkingsverantwoordelijke, [...] onverminderd andere wettelijke beperkingen in de regel niet [bestaat] wanneer het verstrekken van de betreffende informatie afbreuk zou doen aan een bedrijfsgeheim van de verwerkingsverantwoordelijke of een derde’, verenigbaar met artikel 15, lid 1, juncto artikel 22, lid 3, van die verordening? Zo ja, onder welke voorwaarden is dat het geval?”

 Procedure bij het Hof

• 34.

  Bij beslissing van 8 december 2022 heeft de president van het Hof de behandeling van de onderhavige procedure geschorst in afwachting van de eindbeslissing in zaak C‑634/21, SCHUFA Holding e.a. (Scoring).

• 35.

  Overeenkomstig de beslissing van de president van het Hof van 13 december 2023 heeft de griffie van het Hof de verwijzende rechter in kennis gesteld van het arrest van 7 december 2023, SCHUFA Holding e.a. (Scoring) (C‑634/21, EU:C:2023:957), en hem verzocht aan te geven of hij, gelet op dat arrest, zijn verzoek om een prejudiciële beslissing wenste te handhaven.

• 36.

  Bij brief, ingekomen ter griffie van het Hof op 29 januari 2024, heeft die rechter aangegeven dat hij zijn verzoek om een prejudiciële beslissing handhaafde op grond dat zijn in de onderhavige zaak voorgelegde vragen niet konden worden beantwoord op basis van het arrest van 7 december 2023, SCHUFA Holding e.a. (Scoring) (C‑634/21, EU:C:2023:957).

• 37.

  Bij beslissing van 14 februari 2024 heeft de president van het Hof dan ook de hervatting van de behandeling van de onderhavige zaak gelast.

 Eerste, tweede en derde vraag, onder a)

• 38.

  Met de eerste, de tweede en de derde vraag, onder a), die samen moeten worden onderzocht, wenst de verwijzende rechter in wezen te vernemen of artikel 15, lid 1, onder h), AVG aldus moet worden uitgelegd dat de betrokkene wanneer er sprake is van geautomatiseerde besluitvorming, waaronder profilering, in de zin van artikel 22, lid 1, van die verordening, in het kader van het recht op „nuttige informatie over de onderliggende logica” een uitputtende toelichting van de verwerkingsverantwoordelijke kan verlangen over welke procedure en beginselen er concreet zijn toegepast om geautomatiseerd gebruik te maken van de persoonsgegevens van die persoon teneinde daaruit een bepaald resultaat te verkrijgen, zoals een kredietprofiel.

• 39.

  Volgens vaste rechtspraak van het Hof moet voor de uitlegging van een Unierechtelijke bepaling niet alleen rekening worden gehouden met de bewoordingen van die bepaling, maar ook met de context ervan en met de doelstellingen van de regeling waarvan zij deel uitmaakt (arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF, C‑487/21, EU:C:2023:369, punt 19 en aldaar aangehaalde rechtspraak).

• 40.

  Wat allereerst de bewoordingen van artikel 15, lid 1, onder h), AVG betreft, moet er ten eerste op worden gewezen dat de betekenissen van het begrip „nuttige informatie” in de zin van die bepaling in de verschillende taalversies uiteenlopen, waarbij in sommige van die taalversies, waaronder ook de Franse taalversie, de voorkeur wordt gegeven aan de bruikbaarheid („nuttige” in het Nederlands, „úteis” in het Portugees) of de relevantie („relevant” in het Roemeens) van de te verstrekken informatie, terwijl in andere taalversies meer de nadruk wordt gelegd op het belang ervan („significativa” in het Spaans en „istotne” in het Pools). Tot slot kan zowel de in de Duitse als de in de Engelse taalversie van die bepaling gebruikte term („aussagekräftig” respectievelijk „meaningful”) worden geacht te verwijzen naar de goede begrijpelijkheid van die informatie, maar ook naar een zekere mate van kwaliteit ervan.

• 41.

  Zoals de advocaat-generaal in punt 65 van zijn conclusie in wezen heeft opgemerkt, moet de in het vorige punt uiteengezette verschillen in betekenis evenwel worden opgevat in de zin dat de verschillende taalversies elkaar aanvullen en moet daar bij de uitlegging van het begrip „nuttige informatie over de onderliggende logica” in de zin van artikel 15, lid 1, onder h), AVG rekening mee worden gehouden.

• 42.

  Ten tweede kan de verwijzing in die bepaling naar de „onderliggende logica” van geautomatiseerde besluitvorming, waarop die „nuttige informatie” betrekking heeft, gezien de algemene formulering ervan een breed scala aan „logica’s” omvatten om gebruik te maken van persoons- en andere gegevens teneinde daaruit langs geautomatiseerde weg een bepaald resultaat te verkrijgen. Die uitlegging vindt steun in een aantal taalversies van die bepaling waarin termen worden gehanteerd die aanvullend verschillende aspecten van de gebruikelijke betekenis van het begrip „logica” in zich verenigen. Zo wordt bijvoorbeeld in de Tsjechische en de Poolse taalversie verwezen naar respectievelijk de termen „postupu” en „zasady”, die kunnen worden vertaald als „procedure” en „beginselen”.

• 43.

  Onder de bewoordingen van artikel 15, lid 1, onder h), AVG moet dus worden geacht alle informatie te vallen die relevant is voor de procedure en de beginselen voor het geautomatiseerd gebruik van persoonsgegevens met het oog op de verkrijging uit die gegevens van een bepaald resultaat.

• 44.

  Wat vervolgens de context van het begrip „nuttige informatie over de onderliggende logica” in artikel 15, lid 1, onder h), AVG betreft, moet er in de eerste plaats op worden gewezen dat die informatie slechts een deel is van de informatie die wordt beoogd met het in die bepaling neergelegde recht van inzage, aangezien dat recht ook ziet op informatie over het belang en de verwachte gevolgen van de verwerking in kwestie voor de betrokkene.

• 45.

  Ofschoon die informatie – die volgens de op 6 februari 2018 herziene en vastgestelde versie van de richtsnoeren van de bij artikel 29 van richtlijn 95/46 ingestelde werkgroep van 3 oktober 2017 inzake geautomatiseerde individuele besluitvorming en profilering voor de toepassing van verordening (EU) 2016/679 alleen nuttig en begrijpelijk is wanneer zij vergezeld gaat van „echte en concrete voorbeelden” – niet aan de orde komt in de vragen van de verwijzende rechter is, dient zij niettemin in aanmerking te worden genomen als onderdeel van de context van het begrip „nuttige informatie over de onderliggende logica”.

• 46.

  In de tweede plaats heeft het Hof, gelet op het feit dat het begrip „nuttige informatie over de onderliggende logica” ook voorkomt in artikel 13, lid 2, onder f), en in artikel 14, lid 2, onder g), AVG, reeds vastgesteld dat in het geval van geautomatiseerde besluitvorming in de zin van artikel 22, lid 1, van die verordening het in artikel 15, lid 1, onder h), neergelegde recht van inzage in dergelijke informatie een geheel vormt met de aanvullende verplichtingen inzake informatieverstrekking die krachtens artikel 13, lid 2, onder f), en artikel 14, lid 2, onder g), AVG op de verwerkingsverantwoordelijke rusten [zie in die zin arrest van 7 december 2023, SCHUFA Holding e.a. (Scoring), C‑634/21, EU:C:2023:957, punt 56].

• 47.

  In de derde plaats moet, zoals de advocaat-generaal in de punten 58 tot en met 60 van zijn conclusie in wezen heeft uiteengezet, bij de contextuele uitlegging van de inzagerechten in geval van geautomatiseerde besluitvorming rekening worden gehouden met de rechtspraak van het Hof inzake de vereisten die op de verwerkingsverantwoordelijke rusten krachtens artikel 15, lid 3, AVG.

• 48.

  Zo moet er met name rekening mee worden gehouden dat het vereiste van transparantie van de meegedeelde informatie, dat is genoemd in artikel 12, lid 1, AVG, van toepassing is op alle in dat artikel 15 bedoelde gegevens en informatie, met inbegrip van die welke verband houden met geautomatiseerde besluitvorming.

• 49.

  Teneinde ervoor te zorgen dat de betrokkene de aan hem door de verwerkingsverantwoordelijke verstrekte informatie volledig kan begrijpen, vereist artikel 12, lid 1, AVG dat laatstgenoemde passende maatregelen neemt opdat de betrokkene die gegevens en informatie met name in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt (zie in die zin arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF, C‑487/21, EU:C:2023:369, punt 38).

• 50.

  Het onderzoek van de context van artikel 15, lid 1, onder h), AVG bevestigt dus de uit de analyse van de bewoordingen van die bepaling voortvloeiende uitlegging volgens welke „nuttige informatie over de onderliggende logica” van geautomatiseerde besluitvorming in de zin van die bepaling ziet op alle relevante informatie over de procedure en beginselen die moeten worden toegepast om gebruik te maken van persoonsgegevens teneinde daaruit langs geautomatiseerde weg een bepaald resultaat te verkrijgen, waarbij die informatie uit hoofde van de transparantieverplichting bovendien in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm moet worden verstrekt.

• 51.

  Wat ten slotte de doelstellingen van de AVG betreft, zij eraan herinnerd dat die verordening met name tot doel heeft een hoog niveau van bescherming van de fundamentele vrijheden en grondrechten van natuurlijke personen te waarborgen, in het bijzonder van hun recht op bescherming van persoonsgegevens, dat is neergelegd in artikel 16 VWEU en als grondrecht wordt gewaarborgd in artikel 8 van het Handvest, dat het door artikel 7 van het Handvest gewaarborgde recht op eerbiediging van het privéleven aanvult [zie in die zin arrest van 4 oktober 2024, Schrems (Mededeling van gegevens aan het grote publiek), C‑446/21, EU:C:2024:834, punt 45 en aldaar aangehaalde rechtspraak].

• 52.

  Zoals in overweging 11 AVG wordt verduidelijkt, heeft die verordening aldus tot doel de rechten van betrokkenen te versterken en nader te omschrijven (arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF, C‑487/21, EU:C:2023:369, punt 33 en aldaar aangehaalde rechtspraak).

• 53.

  Wat met name het in artikel 15 AVG neergelegde recht van inzage betreft, volgt uit de rechtspraak van het Hof dat dit recht de betrokkene in staat moet stellen zich ervan te vergewissen dat de hem betreffende persoonsgegevens juist zijn en rechtmatig worden verwerkt [arresten van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF, C‑487/21, EU:C:2023:369, punt 34, en 26 oktober 2023, FT (Kopieën uit het medisch dossier), C‑307/22, EU:C:2023:811, punt 73].

• 54.

  Dit recht van inzage is noodzakelijk om de betrokkene in staat te stellen om in voorkomend geval een aantal rechten uit te oefenen, namelijk zijn recht op rectificatie van gegevens, zijn recht op gegevenswissing („recht op vergetelheid”) en zijn recht op beperking van de verwerking, die hem respectievelijk worden toegekend door de artikelen 16, 17 en 18 AVG, alsook zijn in artikel 21 AVG vastgestelde recht om bezwaar te maken tegen de verwerking van zijn persoonsgegevens en zijn in artikel 79 respectievelijk artikel 82 AVG neergelegde recht om zich tot de rechter te wenden en om schadevergoeding te verkrijgen (zie in die zin arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF, C‑487/21, EU:C:2023:369, punt 35).

• 55.

  In de specifieke context van de vaststelling van een besluit dat louter op geautomatiseerde verwerking is gebaseerd, bestaat het hoofddoel van het recht van de betrokkene om de in artikel 15, lid 1, onder h), AVG bedoelde informatie te verkrijgen er met name in om hem in staat te stellen de hem bij artikel 22, lid 3, AVG toegekende rechten, te weten het recht om zijn standpunt over dat besluit kenbaar te maken en het recht om dat besluit aan te vechten, doeltreffend uit te oefenen.

• 56.

  Mochten personen die worden getroffen door een geautomatiseerd besluit, waaronder profilering, niet in staat zijn de redenen voor dat besluit te begrijpen alvorens hun standpunt kenbaar te maken of dat besluit aan te vechten, dan zou het doel van die rechten, namelijk bescherming aan die personen bieden tegen de bijzondere risico’s voor hun rechten en vrijheden die met de geautomatiseerde verwerking van hun persoonsgegevens gepaard gaan, niet ten volle worden bereikt [zie in die zin arrest van 7 december 2023, SCHUFA Holding e.a. (Scoring), C‑634/21, EU:C:2023:957, punt 57].

• 57.

  Dienaangaande blijkt uit overweging 71 AVG dat wanneer ten aanzien van de betrokkene een besluit wordt genomen dat louter is gebaseerd op geautomatiseerde verwerking en dat hem aanmerkelijk treft, die persoon het recht moet hebben om uitleg over dat besluit te krijgen. Zoals de advocaat-generaal in punt 67 van zijn conclusie heeft opgemerkt, moet derhalve worden geoordeeld dat artikel 15, lid 1, onder h), AVG de betrokkene een daadwerkelijk recht biedt op uitleg over de werking van het mechanisme dat ten grondslag ligt aan de geautomatiseerde besluitvorming over hem, en over het resultaat van dat besluit.

• 58.

  Uit het onderzoek van de doelstellingen van de AVG, en met name die van artikel 15, lid 1, onder h), blijkt dat het recht op „nuttige informatie over de onderliggende logica” van geautomatiseerde besluitvorming in de zin van die bepaling moet worden opgevat als een recht op uitleg over welke procedure en beginselen er concreet zijn toegepast om geautomatiseerd gebruik te maken van de persoonsgegevens van de betrokkene teneinde daaruit een bepaald resultaat, zoals een kredietprofiel, te verkrijgen. Om ervoor te zorgen dat de betrokkene zijn rechten uit hoofde van de AVG, en met name uit hoofde van artikel 22, lid 3, doeltreffend kan uitoefenen, moet die uitleg worden verschaft aan de hand van relevante informatie en in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm.

• 59.

  Noch de loutere mededeling van een complexe wiskundige formule, zoals een algoritme, noch een gedetailleerde beschrijving van alle stappen van geautomatiseerde besluitvorming kan aan die vereisten voldoen omdat geen van beide methoden een voldoende beknopte en begrijpelijke uitleg vormt.

• 60.

  Zoals blijkt uit bladzijde 28 van de in punt 45 van het onderhavige arrest genoemde richtsnoeren inzake geautomatiseerde individuele besluitvorming en profilering voor de toepassing van verordening (EU) 2016/679, moet de verwerkingsverantwoordelijke namelijk eenvoudige manieren vinden om de betrokkene uit te leggen wat de achterliggende gedachte is van het geautomatiseerde besluit of op grond van welke criteria dat besluit is genomen. Daarnaast moet de verwerkingsverantwoordelijke op grond van de AVG nuttige informatie over de onderliggende logica van dat besluit verstrekken, „niet noodzakelijkerwijs een ingewikkelde toelichting over de gebruikte algoritmen of een uiteenzetting van het volledige algoritme”.

• 61.

  De „nuttige informatie over de onderliggende logica” van geautomatiseerde besluitvorming in de zin van artikel 15, lid 1, onder h), AVG moet dus een zodanige beschrijving van de concreet toegepaste procedure en beginselen omvatten dat de betrokkene kan begrijpen welke van zijn persoonsgegevens op welke wijze bij de geautomatiseerde besluitvorming in kwestie zijn gebruikt, zonder dat de complexiteit van de in het kader van geautomatiseerde besluitvorming uit te voeren bewerkingen de verwerkingsverantwoordelijke van zijn verplichting om uitleg te verstrekken kan ontslaan.

• 62.

  Wat specifiek een profilering als die in het hoofdgeding betreft, zou de verwijzende rechter met name kunnen oordelen dat aan het vereiste van transparantie en begrijpelijkheid is voldaan wanneer aan de betrokkene wordt meegedeeld in welke mate een ander resultaat zou zijn verkregen mocht er rekening zijn gehouden met andere persoonsgegevens.

• 63.

  Wat de vraag betreft of de verstrekte informatie de betrokkene in staat moet stellen de juistheid te verifiëren van de hem betreffende persoonsgegevens waarop de geautomatiseerde besluitvorming is gebaseerd, dient er evenwel nog op te worden gewezen dat het recht op inzage in die gegevens niet onder artikel 15, lid 1, onder h), AVG valt, maar onder de inleidende zin van lid 1, die waarborgt dat de betrokkene zich van de juistheid van die gegevens kan vergewissen, zoals blijkt uit de in punt 53 van het onderhavige arrest aangehaalde rechtspraak.

• 64.

  Wat ten slotte het oordeel van de verwijzende rechter betreft dat de informatie die D & B op grond van artikel 15, lid 1, onder h), AVG, aan CK had verstrekt niet met de feiten overeenstemde omdat de „feitelijke” profilering tot de conclusie heeft geleid dat zij niet kredietwaardig was, terwijl die informatie op het tegendeel wees, zij opgemerkt dat indien die rechter van oordeel is dat het aldus vastgestelde gebrek aan overeenstemming voortvloeit uit het feit dat CK niet in kennis was gesteld van de profilering die D & B van haar had uitgevoerd voor de telecomprovider, die op basis daarvan heeft geweigerd om een overeenkomst met CK te sluiten of te verlengen, dit moet worden verholpen aan de hand van het recht op inzage in het aldus opgestelde kredietprofiel. In dat verband blijkt uit de rechtspraak van het Hof dat door de verwerkingsverantwoordelijke zelf gegenereerde persoonsgegevens onder artikel 14 AVG vallen (zie in die zin arrest van 28 november 2024, Másdi, C‑169/23, EU:C:2024:988, punt 48).

• 65.

  Daarentegen zou een verklaring van de verschillen tussen het resultaat van een dergelijke „feitelijke” profilering, ervan uitgaande dat die is uitgevoerd, en het resultaat dat D & B aan CK heeft meegedeeld en dat volgens die onderneming is verkregen door aan de gegevens met betrekking tot CK telkens hetzelfde gewicht toe te kennen, wel degelijk vallen onder „nuttige informatie over de onderliggende logica” van de aldus uitgevoerde profilering. Overeenkomstig hetgeen in punt 58 van het onderhavige arrest is opgemerkt, zou D & B dan ook gehouden zijn om in beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm de procedure en de beginselen uiteen te zetten op grond waarvan het resultaat van de „feitelijke” profilering is verkregen.

• 66.

  Uit een en ander volgt dat op de eerste, de tweede en de derde vraag, onder a), dient te worden geantwoord dat artikel 15, lid 1, onder h), AVG aldus moet worden uitgelegd dat de betrokkene wanneer er sprake is van geautomatiseerde besluitvorming, waaronder profilering, in de zin van artikel 22, lid 1, van die verordening, in het kader van het recht op „nuttige informatie over de onderliggende logica” van de verwerkingsverantwoordelijke kan verlangen dat deze aan de hand van relevante informatie en in beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm uiteenzet welke procedure en beginselen er concreet zijn toegepast om geautomatiseerd gebruik te maken van de persoonsgegevens van die persoon teneinde daaruit een bepaald resultaat te verkrijgen, zoals een kredietprofiel.

 Derde vraag, onder b) en c), vierde vraag, onder a) en b), en vijfde en zesde vraag

• 67.

  Met de derde vraag, onder b) en c), de vierde vraag, onder a) en b), en de vijfde en de zesde vraag, die samen moeten worden onderzocht, wenst de verwijzende rechter in wezen te vernemen of artikel 15, lid 1, onder h), AVG aldus moet worden uitgelegd dat wanneer de overeenkomstig die bepaling aan de betrokkene te verstrekken informatie volgens de verwerkingsverantwoordelijke (mede) ziet op door die verordening beschermde gegevens van derden of bedrijfsgeheimen in de zin van artikel 2, punt 1, van richtlijn 2016/943, deze verwerkingsverantwoordelijke die beweerdelijk beschermde informatie dient mee te delen aan de bevoegde toezichthoudende autoriteit of rechterlijke instantie, die de betrokken rechten en belangen tegen elkaar moet afwegen om de omvang van het in artikel 15 AVG neergelegde recht van inzage van de betrokkene vast te stellen.

• 68.

  Dienaangaande zij eraan herinnerd dat het recht op bescherming van persoonsgegevens volgens overweging 4 AVG geen absolute gelding heeft en conform het evenredigheidsbeginsel moet worden afgewogen tegen andere grondrechten. De AVG eerbiedigt dus alle grondrechten alsook de vrijheden en beginselen die zijn erkend in het Handvest en zijn verankerd in de Verdragen [arrest van 26 oktober 2023, FT (Kopieën uit het medisch dossier), C‑307/22, EU:C:2023:811, punt 59 en aldaar aangehaalde rechtspraak].

• 69.

  Voorts wordt in overweging 63 van die verordening verklaard dat het recht van iedere betrokkene om de persoonsgegevens die over hem zijn verzameld in te zien, geen afbreuk mag doen aan de rechten of vrijheden van anderen, waaronder bedrijfsgeheimen of intellectuele eigendom, in het bijzonder het auteursrecht dat software beschermt.

• 70.

  Die overwegingen mogen er evenwel niet toe leiden dat de betrokkene alle informatie wordt onthouden. Daarom bepaalt artikel 23, lid 1, onder i), AVG in wezen dat de reikwijdte van de onder meer in artikel 15 van die verordening bedoelde rechten en verplichtingen slechts kan worden beperkt voor zover die beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van de bescherming van de rechten en vrijheden van anderen.

• 71.

  Het Hof heeft met betrekking tot het in artikel 15, lid 4, AVG neergelegde naburige recht om een kopie te verkrijgen reeds opgemerkt dat de toepassing ervan geen afbreuk mag doen aan de rechten en vrijheden van anderen, waaronder bedrijfsgeheimen of intellectuele eigendom, in het bijzonder het auteursrecht dat software beschermt (zie in die zin arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF, C‑487/21, EU:C:2023:369, punt 43).

• 72.

  In die context heeft het Hof verklaard dat in geval van strijdigheid tussen enerzijds onverkorte uitoefening van het recht van inzage in de persoonsgegevens en anderzijds de rechten of vrijheden van anderen, de betrokken rechten tegen elkaar moeten worden afgewogen. Voor zover mogelijk moet ervoor worden gekozen de persoonsgegevens te verstrekken op een wijze die geen afbreuk doet aan de rechten of vrijheden van anderen. Daarbij moet er rekening mee worden gehouden dat, zoals blijkt uit overweging 63 AVG, deze overwegingen er niet toe mogen „leiden dat de betrokkene alle informatie wordt onthouden” (arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF, C‑487/21, EU:C:2023:369, punt 44).

• 73.

  Wat betreft de vraag hoe het in artikel 15, lid 1, onder h), AVG neergelegde recht van inzage zo kan worden uitgeoefend dat de rechten en vrijheden van anderen worden geëerbiedigd, zij eraan herinnerd dat een nationale rechter volgens de rechtspraak van het Hof van oordeel kan zijn dat persoonsgegevens van de partijen of van derden aan hem moeten worden meegedeeld om met volledige kennis van zaken en met inachtneming van het evenredigheidsbeginsel de betrokken belangen te kunnen afwegen. Deze beoordeling kan er in voorkomend geval toe leiden dat de rechter toestemming verleent om de hem aldus meegedeelde persoonsgegevens geheel of gedeeltelijk aan de wederpartij te verstrekken, indien deze verstrekking naar het oordeel van die rechter niet verder gaat dan noodzakelijk is om te waarborgen dat justitiabelen daadwerkelijk de aan artikel 47 van het Handvest ontleende rechten genieten (zie arrest van 2 maart 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, punt 58).

• 74.

  Zoals de advocaat-generaal in punt 94 van zijn conclusie heeft opgemerkt, is die rechtspraak ten volle toepasselijk wanneer de informatie die op grond van het door artikel 15, lid 1, onder h), AVG gewaarborgde recht van inzage aan de betrokkene moet worden verstrekt, de rechten en vrijheden van anderen kan aantasten, met name omdat zij door die verordening beschermde persoonsgegevens van derden of een bedrijfsgeheim in de zin van artikel 2, punt 1, van richtlijn 2016/943 bevat. Ook in dat geval moet die informatie worden meegedeeld aan de bevoegde toezichthoudende autoriteit of rechterlijke instantie, die de betrokken rechten en belangen tegen elkaar dient af te wegen om de omvang van het recht van inzage van de betrokkene in de hem betreffende persoonsgegevens vast te stellen.

• 75.

  Aangezien de omvang van dat recht per geval moet worden vastgesteld, verzet artikel 15, lid 1, onder h), AVG zich met name tegen de toepassing van een bepaling als § 4, lid 6, DSG, die het in artikel 15 AVG neergelegde recht van inzage van de betrokkene in beginsel uitsluit wanneer die inzage afbreuk doet aan een bedrijfsgeheim van de verwerkingsverantwoordelijke of een derde. Dienaangaande zij eraan herinnerd dat een lidstaat de uitkomst van een door het Unierecht per geval te verrichten afweging van de betrokken rechten en belangen niet definitief kan vaststellen [zie in die zin arrest van 7 december 2023, SCHUFA Holding e.a. (Scoring), C‑634/21, EU:C:2023:957, punt 70 en aldaar aangehaalde rechtspraak].

• 76.

  Gelet op een en ander moet op de derde vraag, onder b) en c), de vierde vraag, onder a) en b), en de vijfde en de zesde vraag worden geantwoord dat artikel 15, lid 1, onder h), AVG aldus moet worden uitgelegd dat wanneer de overeenkomstig die bepaling aan de betrokkene te verstrekken informatie volgens de verwerkingsverantwoordelijke (mede) ziet op door die verordening beschermde gegevens van derden of bedrijfsgeheimen in de zin van artikel 2, punt 1, van richtlijn 2016/943, deze verwerkingsverantwoordelijke die beweerdelijk beschermde informatie dient mee te delen aan de bevoegde toezichthoudende autoriteit of rechterlijke instantie, die de betrokken rechten en belangen tegen elkaar moet afwegen om de omvang van het in artikel 15 AVG neergelegde recht van inzage van de betrokkene vast te stellen.

 Kosten

• 77.

  Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

  Het Hof (Eerste kamer) verklaart voor recht:

  1)      Artikel 15, lid 1, onder h), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)

  moet aldus worden uitgelegd dat

  de betrokkene wanneer er sprake is van geautomatiseerde besluitvorming, waaronder profilering, in de zin van artikel 22, lid 1, van die verordening, in het kader van het recht op „nuttige informatie over de onderliggende logica” van de verwerkingsverantwoordelijke kan verlangen dat deze aan de hand van relevante informatie en in beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm uiteenzet welke procedure en beginselen er concreet zijn toegepast om geautomatiseerd gebruik te maken van de persoonsgegevens van die persoon teneinde daaruit een bepaald resultaat te verkrijgen, zoals een kredietprofiel.

  2)      Artikel 15, lid 1, onder h), van verordening 2016/679

  moet aldus worden uitgelegd dat

  wanneer de overeenkomstig die bepaling aan de betrokkene te verstrekken informatie volgens de verwerkingsverantwoordelijke (mede) ziet op door die verordening beschermde gegevens van derden of bedrijfsgeheimen in de zin van artikel 2, punt 1, van richtlijn (EU) 2016/943 van het Europees Parlement en de Raad van 8 juni 2016 betreffende de bescherming van niet-openbaar gemaakte knowhow en bedrijfsinformatie (bedrijfsgeheimen) tegen het onrechtmatig verkrijgen, gebruiken en openbaar maken daarvan, deze verwerkingsverantwoordelijke die beweerdelijk beschermde informatie dient mee te delen aan de bevoegde toezichthoudende autoriteit of rechterlijke instantie, die de betrokken rechten en belangen tegen elkaar moet afwegen om de omvang van het in artikel 15 AVG neergelegde recht van inzage van de betrokkene vast te stellen.

  ondertekeningen

  *      Procestaal: Duits.