Dostęp do informacji osoby, której dane dotyczą w przypadku zautomatyzowanego podejmowania decyzji, w tym profilowania (15 ust. 1 lit. h) i art. 22 ust. 1 RODO)

 Artykuł 15 ust. 1 lit. h) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych)

należy interpretować w ten sposób, że:

w przypadku zautomatyzowanego podejmowania decyzji, w tym profilowania, w rozumieniu art. 22 ust. 1 tego rozporządzenia, osoba, której dane dotyczą, może żądać od administratora, tytułem „istotnych informacji o zasadach […] podejmowania [tych decyzji]”, aby ten wyjaśnił jej, w drodze istotnych informacji oraz w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, procedurę i zasady konkretnie zastosowane do zautomatyzowanego wykorzystania danych osobowych dotyczących tej osoby w celu uzyskania określonego wyniku, takiego jak profil zdolności kredytowej.

2) Artykuł 15 ust. 1 lit. h) rozporządzenia 2016/679

należy interpretować w ten sposób, że:

w przypadku gdy administrator uważa, iż informacje, które należy zgodnie z tym przepisem przekazać osobie, której dane dotyczą, zawierają dane osób trzecich chronione tym rozporządzeniem lub tajemnice przedsiębiorstwa w rozumieniu art. 2 pkt 1 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/943 z dnia 8 czerwca 2016 r. w sprawie ochrony niejawnego know-how i niejawnych informacji handlowych (tajemnic przedsiębiorstwa) przed ich bezprawnym pozyskiwaniem, wykorzystywaniem i ujawnianiem, administrator ten jest zobowiązany do przekazania tych informacji, które miałyby być chronione, właściwemu organowi nadzorczemu lub właściwemu sądowi, na których spoczywa obowiązek wyważenia rozpatrywanych praw i interesów w celu ustalenia zakresu prawa dostępu przysługującego osobie, której dane dotyczą, przewidzianego w art. 15 tego rozporządzenia.

Z uwagi na jego ogólne sformułowanie, zawarte w tym przepisie odniesienie do „zasad [w oryginale fr. »logique sous-jacente«, co można dosłownie przetłumaczyć jako »rozumowanie leżące u podstaw«]” zautomatyzowanego podejmowania decyzji, które stanowią przedmiot wspomnianych „istotnych informacji”, może obejmować szeroki wachlarz „zasad [w oryginale fr. »logiques«, co można dosłownie przetłumaczyć jako »rozumowania«]” wykorzystywania danych osobowych i innych danych w celu uzyskania w sposób zautomatyzowany określonego rezultatu. Wykładnia ta znajduje potwierdzenie w niektórych wersjach językowych tego przepisu, w których posłużono się zwrotami odnoszącymi się w sposób uzupełniający do różnych aspektów powszechnego rozumienia pojęcia „zasad [w oryginale fr. »logique«, co można dosłownie przetłumaczyć jako »rozumowanie«]”. I tak na przykład w wersjach językowych czeskiej i polskiej posłużono się, odpowiednio, zwrotami „postupu” i „zasady”, które można przetłumaczyć jako „procedurę” i „zasady [w oryginale fr. »principes«]”.

Należy zatem uznać, że brzmienie art. 15 ust. 1 lit. h) RODO odnosi się do wszelkich istotnych informacji dotyczących procedury i zasad zautomatyzowanego wykorzystywania danych osobowych w celu uzyskania określonego rezultatu.

„Istotnyce informacje o zasadach [podejmowania decyzji]” stanowią jedynie część informacji objętych prawem dostępu przewidzianym w tym artykule, ponieważ artykuł ten dotyczy również informacji o znaczeniu i przewidywanych konsekwencjach danego przetwarzania dla osoby, której dane dotyczą.

Uwzględniając fakt, że pojęcie „istotnych informacji o zasadach [podejmowania decyzji]” znajduje się również w art. 13 ust. 2 lit. f) i art. 14 ust. 2 lit. g) RODO, Trybunał stwierdził już, że w przypadku zautomatyzowanego podejmowania decyzji w rozumieniu art. 22 ust. 1 tego rozporządzenia prawo dostępu do takich informacji ustanowione w jego art. 15 ust. 1 lit. h) wraz z dodatkowymi obowiązkami informacyjnymi, które ciążą na administratorze na podstawie tego art. 13 ust. 2 lit. f) i art. 14 ust. 2 lit. g) RODO stanowi całość [zob. podobnie wyrok z dnia 7 grudnia 2023 r., SCHUFA Holding i in., C-634/21).

w ramach wykładni kontekstualnej praw dostępu przewidzianych w przypadku zautomatyzowanego podejmowania decyzji należy uwzględnić orzecznictwo Trybunału dotyczące wymogów, jakie powinien spełniać administrator na podstawie art. 15 ust. 3 RODO.

48      Należy zatem wziąć pod uwagę w szczególności fakt, że przewidziany w art. 12 ust. 1 RODO wymóg przejrzystości przekazywanych informacji ma zastosowanie do wszystkich danych i informacji, o których mowa we wspomnianym art. 15, w tym do danych i informacji związanych ze zautomatyzowanym podejmowaniem decyzji.

W celu zapewnienia, aby osoba, której dane dotyczą, była w stanie w pełni zrozumieć informacje przekazane jej przez administratora, wspomniany art. 12 ust. 1 zobowiązuje tego ostatniego do podjęcia odpowiednich środków, w szczególności w celu udzielenia osobie, której dane dotyczą, tych danych i informacji w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem (zob. podobnie wyrok z dnia 4 maja 2023 r., Österreichische Datenschutzbehörde i CRIF, C-487/21).

Analiza kontekstu, w jaki wpisuje się art. 15 ust. 1 lit. h) RODO, potwierdza zatem wykładnię wynikającą z analizy brzmienia tego przepisu, zgodnie z którą „istotne informacje o zasadach” zautomatyzowanego podejmowania decyzji w rozumieniu tego przepisu obejmują wszelkie istotne informacje dotyczące procedury i zasad wykorzystywania danych osobowych w celu uzyskania w sposób zautomatyzowany określonego rezultatu, przy czym obowiązek przejrzystości wymaga ponadto, aby informacje te były przekazywane w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie.

Celem prawa osoby, której dane dotyczą, do uzyskania informacji przewidzianych w art. 15 ust. 1 lit. h) RODO jest umożliwienie tej osobie skutecznego wykonywania praw przyznanych jej w art. 22 ust. 3 tego rozporządzenia, a mianowicie prawa do wyrażenia własnego stanowiska w przedmiocie tej decyzji i do jej zakwestionowania. Jeżeli bowiem osoby, których dotyczy zautomatyzowana decyzja, w tym profilowanie, nie były w stanie zrozumieć powodów, które doprowadziły do wydania tej decyzji przed wyrażeniem swojego stanowiska lub zakwestionowaniem jej, to prawa te nie mogą zatem w pełni spełniać swojego celu, jakim jest ochrona tych osób przed szczególnymi zagrożeniami dla ich praw i wolności wynikającymi ze zautomatyzowanego przetwarzania ich danych osobowych [zob. podobnie wyrok z dnia 7 grudnia 2023 r., SCHUFA Holding i in. (Scoring), C-634/21).

Z analizy celów RODO, a w szczególności celów art. 15 ust. 1 lit. h), wynika, że prawo do uzyskania „istotnych informacji o zasadach” zautomatyzowanego podejmowania decyzji w rozumieniu tego przepisu należy rozumieć jako prawo do wyjaśnienia procedury i zasad konkretnie zastosowanych do zautomatyzowanego wykorzystania danych osobowych osoby, której dane dotyczą, w celu uzyskania określonego wyniku, takiego jak profil zdolności kredytowej. Aby umożliwić osobie, której dane dotyczą, skuteczne wykonywanie praw przysługujących jej na mocy RODO, a w szczególności art. 22 ust. 3 tego rozporządzenia, wyjaśnienie to powinno być przedstawione w drodze istotnych informacji oraz w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie.

Wymogów tych nie może spełniać ani zwykłe przekazanie złożonego wzoru matematycznego, takiego jak algorytm, ani szczegółowy opis wszystkich etapów zautomatyzowanego podejmowania decyzji, ponieważ żaden z tych sposobów nie stanowi wystarczająco zwięzłego i zrozumiałego wyjaśnienia.

Jak bowiem wynika ze s. 28 wytycznych dotyczących zautomatyzowanego podejmowania decyzji w indywidualnych przypadkach i profilowania dla celów rozporządzenia (UE) 2016/679, o których mowa w pkt 45 niniejszego wyroku, po pierwsze, administrator powinien znaleźć proste sposoby, aby poinformować osobę, której dane dotyczą, o przesłankach zautomatyzowanego podejmowania decyzji lub kryteriach, na których się ona opiera. Po drugie, RODO wymaga, aby ów administrator dostarczył istotnych informacji o zasadach podjęcia tej decyzji, „ale niekoniecznie złożonego wyjaśnienia zastosowanych algorytmów lub ujawnienia pełnego algorytmu”.

Tak więc „istotne informacje o zasadach” zautomatyzowanego podejmowania decyzji w rozumieniu art. 15 ust. 1 lit. h) RODO powinny opisywać konkretnie zastosowane procedurę i zasady w taki sposób, aby osoba, której dane dotyczą, mogła zrozumieć, które z jej danych osobowych i w jaki sposób zostały wykorzystane w kontekście rozpatrywanego zautomatyzowanego podejmowania decyzji, przy czym złożoność operacji, które należy przeprowadzić w ramach zautomatyzowanego podejmowania decyzji, nie zwalnia administratora z obowiązku udzielenia wyjaśnień.

Wyrok TSUE z dnia 27 lutego 2025 r., C-203/22

Standard: 86798 (pełna treść orzeczenia)