1.

La presente petición de decisión prejudicial tiene por objeto la interpretación, por una parte, del artículo 15, apartados 1, letra h), y 4, y del artículo 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) ( 2 ) (en lo sucesivo, «RGPD»), y, por otra, del artículo 2, punto 1, de la Directiva (UE) 2016/943 del Parlamento Europeo y del Consejo, de 8 de junio de 2016, relativa a la protección de los conocimientos técnicos y la información empresarial no divulgados (secretos comerciales) contra su obtención, utilización y revelación ilícitas. ( 3 )

2.

Dicha petición se ha planteado en el contexto de un litigio entre CK y la Magistrat der Stadt Wien (Administración Municipal de Viena, Austria) relativo a la solicitud de ejecución forzosa de una decisión judicial que obligaba a una empresa de evaluación de solvencia a facilitar a CK información significativa sobre la lógica aplicada en una elaboración de un perfil relativo a sus datos personales.

3.

A continuación, explicaré qué se entiende, en mi opinión, por «información significativa sobre la lógica aplicada» en la adopción de una decisión automatizada, en el sentido del artículo 15, apartado 1, letra h), del RGPD, y el modo en que deben ponderarse, por un lado, el derecho de acceso a dicha información y, por otro, la protección de los derechos y libertades de terceros, como el secreto comercial.

4.

Un operador de telefonía móvil denegó a CK la celebración o prórroga de un contrato de telefonía móvil que suponía un pago mensual de 10 euros, alegando que CK no presentaba una solvencia económica suficiente. La solvencia supuestamente insuficiente de CK se justificó mediante una evaluación de solvencia que Bisnode Austria GmbH (actualmente Dun & Bradstreet Austria GmbH; en lo sucesivo «D & B»), una empresa especializada en la realización de evaluaciones crediticias, había realizado de forma automatizada.

5.

CK presentó una solicitud a la autoridad austriaca de protección de datos para obtener información pertinente sobre la lógica aplicada en la adopción de la decisión automatizada por D & B. La autoridad austriaca de protección de datos accedió a esta solicitud.

6.

D & B impugnó ante el Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso-Administrativo, Austria) la decisión de la autoridad austriaca de protección de datos que le obligaba a facilitar la información solicitada por CK.

7.

Mediante resolución de 23 de octubre de 2019, este órgano jurisdiccional confirmó parcialmente dicha decisión de la autoridad austriaca de protección de datos. Consideró que D & B había vulnerado el derecho de acceso de CK contemplado en el artículo 15, apartado 1, letra h), del RGPD al no proporcionar a CK información significativa sobre la lógica aplicada en la adopción de una decisión automatizada relativa a los datos personales de CK o, al menos, al no dar razones suficientes por las que no había podido proporcionar dicha información.

8.

Esta resolución del Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso-Administrativo) ha adquirido firmeza y es ejecutiva con arreglo a la legislación austriaca.

9.

Sin embargo, la autoridad de ejecución, la Administración Municipal de Viena, denegó la solicitud de CK de que se ejecutara dicha decisión debido a que D & B ya había cumplido suficientemente su obligación de facilitar información.

10.

CK recurrió esta decisión ante el Verwaltungsgericht Wien (Tribunal Regional de lo Contencioso-Administrativo de Viena, Austria), el órgano jurisdiccional remitente. Dicho órgano jurisdiccional señala que, en el marco de este recurso, debe adoptar, en lugar de la autoridad de ejecución, una decisión sobre la ejecución de la resolución del Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso-Administrativo). En consecuencia, el órgano jurisdiccional remitente debe determinar concretamente qué información está obligada D & B a comunicar a CK. ( 4 )

11.

A este respecto, dicho órgano jurisdiccional considera que el artículo 15, apartado 1, letra h), del RGPD confiere al interesado un derecho de acceso a una información exacta. En este sentido, el referido órgano jurisdiccional señala que existen indicios claros de que la información —que no es mucha— facilitada hasta la fecha por D & B es contraria a los hechos. De hecho, mientras que la información facilitada a CK le otorga una calificación crediticia especialmente alta, el perfil real de CK le ha negado de facto toda solvencia, incluida la capacidad financiera de pagar un importe de 10 euros cada mes. Existe, por tanto, a su juicio, una clara contradicción entre, por una parte, la información facilitada a CK sobre sus datos personales tratados y la lógica aplicada en la evaluación efectuada de forma automatizada y, por otra, la conclusión que el operador de telefonía móvil extrajo de la calificación efectivamente establecida. En opinión del órgano jurisdiccional remitente, esta contradicción lleva a albergar dudas sobre la exactitud de la información facilitada a CK hasta la fecha.

12.

Sobre la base de esta constatación, el órgano jurisdiccional remitente señala que, cuando es objeto de la elaboración de un perfil, el interesado solo puede invocar un derecho de acceso a la información exacta si el artículo 15, apartado 1, letra h), del RGPD le concede un derecho de acceso lo suficientemente amplio como para permitirle verificar la coherencia y la inteligibilidad de la evaluación facilitada y discernir si la lógica interna que se le comunicó en el marco de su derecho de acceso ha servido efectivamente de base para la elaboración del perfil a que ha sido sometido. En resumen, el interesado debe poder obtener información suficientemente detallada sobre los datos personales tratados y sobre la lógica interna aplicada en la adopción de la decisión automatizada, de modo que pueda comprender esta última y verificar su exactitud.

13.

Según dicho órgano jurisdiccional, esta interpretación del artículo 15, apartado 1, letra h), del RGPD permite garantizar la efectividad de esta disposición, al impedir la transmisión de información incorrecta por parte del responsable del tratamiento. Además, a su juicio, dicha interpretación permite al interesado ejercer los derechos que le confiere el artículo 22, apartado 3, de dicho Reglamento, a saber, en particular, el derecho a expresar su punto de vista sobre una decisión individual automatizada y a impugnar la coherencia y exactitud de la misma.

14.

El referido órgano jurisdiccional señala que la exigencia de que el interesado pueda verificar la coherencia y la exactitud de la información facilitada en virtud del artículo 15, apartado 1, letra h), del RGPD tiene importantes consecuencias en cuanto atañe a la cuestión del alcance y el nivel de detalle con que el responsable del tratamiento debe comunicar la información en virtud de dicha disposición.

15.

En el marco del procedimiento principal, el órgano jurisdiccional remitente designó a un experto para determinar qué información debe comunicar D & B a CK en virtud de la decisión del Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso-Administrativo).

16.

Según el experto designado, para hacer posible una concreción que pueda dar lugar a una ejecución forzosa, garantizar el carácter inteligible de la decisión automatizada y verificar la exactitud y la coherencia de la información proporcionada, el interesado debe recibir, en virtud del derecho de acceso que le confiere el artículo 15, apartado 1, letra h) del RGPD, de forma suficientemente detallada y circunstanciada, la siguiente información mínima:

17.

Del informe pericial se desprende que la comunicación de la fórmula matemática y de las funciones valorativas de todos los valores utilizados en dicha fórmula es lo único que permite a CK comprender la elaboración del perfil de que ha sido objeto, de modo que solo sobre la base de esa información puede ejercer los derechos que le confiere el artículo 22, apartado 3, del RGPD para expresar su punto de vista e impugnar la decisión basada en un tratamiento automatizado.

18.

Según ese informe, para verificar la exactitud de la información mínima comunicada, D & B también debe elaborar y presentar, de forma relativamente completa y detallada y, para que sirva de base de comparación, una lista de toda la información sobre al menos veinticinco perfiles comparables y no anonimizados, contemporáneos a la elaboración del perfil de la que ha sido objeto CK y que se hayan elaborado utilizando la misma regla de cálculo.

19.

En cuanto a este último aspecto, el órgano jurisdiccional remitente señala que la comunicación de dicha información puede afectar a los derechos a la protección de datos personales evaluados en los casos de elaboración de perfiles que sirven de base para la comparación.

20.

Por ello, dicho órgano jurisdiccional se pregunta, teniendo en cuenta en particular lo dispuesto en el artículo 9 de la Directiva 2016/943, si el conflicto entre los distintos intereses en juego podría resolverse si los datos personales de terceros necesarios para verificar la exactitud de la información mínima transmitida se comunicaran únicamente a la autoridad o al órgano jurisdiccional competente, que examinarían entonces de forma independiente si esos datos de terceros se ajustan a los hechos.

21.

El órgano jurisdiccional remitente señala asimismo que, según la jurisprudencia del Oberster Gerichtshof (Tribunal Supremo de lo Civil y Penal, Austria) y la doctrina dominante, el algoritmo utilizado en la elaboración de perfiles es un secreto comercial en el sentido de la Directiva 2016/943. A este respecto, el órgano jurisdiccional remitente señala que D & B invocó la existencia de un secreto comercial digno de protección en relación con el algoritmo en el que se basa el tratamiento para negarse a comunicar información suficiente sobre la lógica aplicada en la adopción de decisiones automatizadas. Una vez más, este órgano jurisdiccional se pregunta si el conflicto entre los intereses del interesado y los del responsable del tratamiento podría resolverse si la información clasificada como «secreto comercial», en el sentido del artículo 2, punto 1, de la Directiva 2016/943, se comunicara únicamente a la autoridad o al órgano jurisdiccional competentes, que verificarían de forma independiente si dicha clasificación puede mantenerse y si la información facilitada por el responsable del tratamiento con arreglo al artículo 15, apartado 1, letra h), del RGPD se corresponde con la realidad.

22.

El órgano jurisdiccional remitente señala, no obstante, que este método de resolver los conflictos entre los distintos intereses en juego tiene el inconveniente de que el interesado se ve privado de información detallada, lo que limita, o incluso hace imposible, el derecho de acceso garantizado por esta última disposición. Esto podría tener como efecto impedir que el interesado compruebe si la información facilitada por el responsable del tratamiento es inteligible y exacta y que ejerza los derechos que le garantizan el artículo 22, apartado 3, del RGPD y el artículo 47 de la Carta de los Derechos Fundamentales de la Unión Europea. ( 5 )

23.

En el contexto de la ponderación entre los intereses de la persona que solicita el acceso y los del responsable del tratamiento, este órgano jurisdiccional también solicita, en particular a la luz del artículo 4, apartado 6, de la Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Ley Federal de Protección de las Personas Físicas en el Tratamiento de los Datos Personales), de 17 de agosto de 1999, ( 6 ) en su versión aplicable al litigio principal ( 7 )(en lo sucesivo, «DSG»), que se interpreten los artículos 15, apartado 4, y 23, apartado 1, letra i), del RGPD, a la luz del considerando 63 de dicho Reglamento.

24.

En estas circunstancias, el Verwaltungsgericht Wien (Tribunal Regional de lo Contencioso-Administrativo de Viena) decidió suspender el procedimiento y plantear al Tribunal las siguientes cuestiones prejudiciales:

25.

Han presentado observaciones escritas CK, D & B, los Gobiernos español, neerlandés y polaco y la Comisión Europea.

26.

A tenor del artículo 22, apartado 1, del RGPD, «todo interesado tendrá derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar». ( 8 ) Sin embargo, la prohibición así establecida no se aplica en los supuestos enumerados en el artículo 22, apartado 2, de dicho Reglamento, sobre los que volveré en las consideraciones que siguen.

27.

En su sentencia de 7 de diciembre de 2023, SCHUFA Holding y otros (Scoring), ( 9 ) el Tribunal de Justicia declaró que el artículo 22, apartado 1, del RGPD debe interpretarse en el sentido de que la generación automatizada, por una agencia de información comercial, de un valor de probabilidad a partir de datos personales relativos a una persona y acerca de la capacidad de esta para hacer frente a compromisos de pago en el futuro constituye una «decisión individual automatizada», en el sentido de la mencionada disposición, cuando de ese valor de probabilidad dependa de manera determinante que un tercero, al que se comunica dicho valor, establezca, ejecute o ponga fin a una relación contractual con esa persona. ( 10 )

28.

A raíz de esta sentencia, el Tribunal de Justicia exhortó al órgano jurisdiccional remitente a que indicase si deseaba mantener su petición de decisión prejudicial, a lo que este último respondió afirmativamente. En efecto, consideró, en esencia, que dicha sentencia no respondía a sus preguntas relativas, en particular, a la forma de resolver la tensión entre los derechos del interesado a la protección de sus datos personales y los intereses del responsable del tratamiento relativos a la protección de los secretos comerciales. Además, esa sentencia no responde, a su juicio, a la cuestión relativa al nivel de detalle exigido a la «información significativa sobre la lógica aplicada» en la adopción de una decisión automatizada, en el sentido del artículo 15, apartado 1, letra h), del RGPD.

29.

Por lo tanto, el presente caso llevará al Tribunal de Justicia a completar su sentencia en el asunto SCHUFA Holding y otros (Scoring), ( 11 ) precisando el alcance del derecho de acceso garantizado por esta disposición.

30.

El órgano jurisdiccional remitente debe determinar la amplitud y el grado de detalle de la información que D & B debe facilitar para cumplir los requisitos de dicha disposición.

31.

Desde esta perspectiva, el órgano jurisdiccional remitente solicita la ayuda del Tribunal de Justicia en las cuestiones jurídicas siguientes.

32.

En primer lugar, ¿qué se entiende por «información significativa sobre la lógica aplicada» en una toma de decisiones automatizada, en el sentido del artículo 15, apartado 1, letra h), del RGPD? ¿Incluye dicha información el algoritmo utilizado para tomar la decisión? ¿En qué medida y con qué grado de concreción es posible exigir al responsable del tratamiento que facilite información suficiente para que el interesado pueda verificar la exactitud de la información y su coherencia con la decisión de calificación crediticia en cuestión?

33.

En segundo lugar, ¿en qué medida la protección de los derechos y libertades de terceros, en particular la protección del secreto comercial, puede afectar a la obligación del responsable del tratamiento de proporcionar «información significativa sobre la lógica aplicada» en la adopción de una decisión automatizada, en el sentido del artículo 15, apartado 1, letra h), del RGPD? ¿Qué mecanismos, en su caso, podrían resolver la tensión entre los derechos del interesado y los intereses del responsable del tratamiento?

34.

En sus conclusiones presentadas en el asunto en que recayó la sentencia SCHUFA Holding y otros (Scoring), ( 12 ) el Abogado General Pikamäe se pronunció sobre los principales aspectos de estas cuestiones. Así, consideró que el artículo 15, apartado 1, letra h), del RGPD, en relación con el considerando 63 de dicho Reglamento, debe interpretarse en el sentido de que, «en principio, abarca también el método de cálculo utilizado por una agencia de información comercial para generar un score, a condición de que no existan intereses en conflicto dignos de protección». ( 13 )

35.

Al tiempo que deseaba garantizar un justo equilibrio entre los derechos e intereses divergentes en juego, el legislador de la Unión quiso asegurarse de que «en todo caso [se proporcione] un mínimo de información para no comprometer el contenido esencial del derecho a la protección de los datos de carácter personal». ( 14 ) Por consiguiente, según el Abogado General Pikamäe, «si bien la protección del secreto comercial o de la propiedad intelectual constituye, en principio, para una agencia de información comercial, un motivo legítimo para negarse a revelar el algoritmo utilizado para calcular el score del interesado, no puede, en cambio, justificar en modo alguno la denegación total de la información». ( 15 )

36.

A la luz del artículo 12, apartado 1, del RGPD, en virtud del cual «el responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información […] con arreglo [al artículo 15] relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo», ( 16 ) así como del considerando 58 de dicho Reglamento, el Abogado General Pikamäe consideró que «el objetivo real del artículo 15, apartado 1, letra h), del RGPD consiste en garantizar que el interesado obtenga información de una forma comprensible y accesible, según sus necesidades». ( 17 ) En su opinión, «estas exigencias excluyen ya la posibilidad de una obligación de divulgar el algoritmo, habida cuenta de su complejidad. En efecto, la utilidad de comunicar una fórmula particularmente compleja sería dudosa si no se proporcionan las explicaciones necesarias al respecto». ( 18 )

37.

A la luz de estos elementos, el Abogado General Pikamäe concluyó, por tanto, que «la obligación de proporcionar “información significativa sobre la lógica aplicada” debe entenderse en el sentido de que incluye explicaciones suficientemente detalladas sobre el método utilizado para el cálculo del score y sobre las razones que han conducido a un resultado determinado. En general, el responsable del tratamiento debería proporcionar al interesado información general, en particular sobre los factores que se han tenido en cuenta en el proceso de toma de decisiones y sobre su importancia relativa desde el punto de vista agregado, que también le resulte útil para impugnar cualquier “decisión” en el sentido del artículo 22, apartado 1, del RGPD». ( 19 )

38.

Coincido, en esencia, con la interpretación propuesta por el Abogado General Pikamäe, como expondré con más detalle en los puntos siguientes. ( 20 )

39.

Mediante sus cuestiones prejudiciales, que propongo examinar conjuntamente, el órgano jurisdiccional remitente pregunta al Tribunal de Justicia, en esencia, si, por una parte, el artículo 15, apartado 1, letra h), del RGPD debe interpretarse en el sentido de que la «información significativa sobre la lógica aplicada» en la adopción de una decisión automatizada incluye información suficientemente completa que permita al interesado verificar la exactitud de dicha información y su coherencia con la decisión de calificación de que se trata, incluido el algoritmo utilizado a efectos de dicha toma de decisiones automatizada. Por otra parte, este órgano jurisdiccional desea saber si y, en su caso, en qué medida la protección de los derechos y libertades de otros, tales como la protección de los secretos comerciales invocada por el responsable del tratamiento, puede limitar el alcance del derecho de acceso del interesado contemplado en esta disposición.

40.

De entrada, ha de señalarse que el Tribunal de Justicia ha destacado recientemente varias características del derecho de acceso previsto en el artículo 15 del RGPD al pronunciarse sobre el alcance del derecho a obtener una copia de los datos personales objeto de tratamiento, derecho previsto en el apartado 3, primera frase, de dicho artículo. Me parece que estos elementos son útiles para responder a las cuestiones planteadas por el órgano jurisdiccional remitente.

41.

El artículo 15 del RGPD, titulado «Derecho de acceso del interesado», define en su apartado 1 el objeto y el ámbito de aplicación del derecho de acceso del interesado, y establece en el mismo el derecho del interesado a obtener del responsable del tratamiento acceso a sus datos personales y a la información mencionada en las letras a) a h) de este apartado.

42.

Al garantizarse ese derecho se pretende alcanzar los objetivos perseguidos por el RGPD, que son, como se indica en los considerandos 10 y 11, garantizar un nivel uniforme y elevado de protección de las personas físicas dentro de la Unión y reforzar y especificar los derechos de los interesados. ( 21 )

43.

Más concretamente, el artículo 15, apartado 1, letra h), del RGPD establece que el interesado tiene derecho a ser informado por el responsable del tratamiento de la existencia de la toma de decisiones automatizada, incluida la elaboración de perfiles, ( 22 ) a que se refieren los artículos 22, apartados 1 y 4, de dicho Reglamento, y, al menos en tales casos, a obtener información significativa sobre la lógica aplicada, ( 23 ) así como sobre la importancia y las consecuencias previstas de dicho tratamiento para el interesado. ( 24 )

44.

Con carácter general, de la jurisprudencia del Tribunal de Justicia se desprende que el derecho de acceso previsto en el artículo 15 del RGPD debe permitir al interesado cerciorarse de que los datos personales que le conciernen son exactos y de que son tratados lícitamente. ( 25 )

45.

Además, la copia de los datos personales objeto de tratamiento, que el responsable del tratamiento debe proporcionar en virtud del artículo 15, apartado 3, primera frase, del RGPD, debe presentar todas las características que permitan al interesado ejercer efectivamente sus derechos en virtud de este Reglamento y, por consiguiente, debe reproducir de forma íntegra y fiel esos datos. ( 26 )

46.

En particular, este derecho de acceso es necesario para permitir al interesado ejercer, en su caso, su derecho de rectificación, su derecho de supresión («derecho al olvido») y su derecho a la limitación del tratamiento, reconocidos, respectivamente, en los artículos 16, 17 y 18 del RGPD, su derecho de oposición al tratamiento de sus datos personales, contemplado en el artículo 21 del RGPD, así como su derecho a recurrir por los daños sufridos, previsto en los artículos 79 y 82 del RGPD. ( 27 )

47.

En cuanto al derecho del interesado a obtener la información prevista en el artículo 15, apartado 1, letra h), he de añadir que este derecho de acceso debe permitirle ejercer los derechos que le confiere el artículo 22 del RGPD, que versa específicamente sobre la situación en la que el interesado es objeto de una decisión basada en un tratamiento automatizado.

48.

Así, como he mencionado anteriormente, el artículo 22, apartado 1, de dicho Reglamento establece el derecho de todo interesado a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o lo afecte significativamente de modo similar. ( 28 ) No obstante, la prohibición así establecida no se aplicará en los casos contemplados en el artículo 22, apartado 2, de dicho Reglamento, a saber, si la decisión es necesaria para la celebración o la ejecución de un contrato entre el interesado y un responsable del tratamiento [letra a)], si estaba autorizada por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento [letra b)], o si se basa en el consentimiento explícito del interesado [letra c)].

49.

Además, el artículo 22 del RGPD dispone, en su apartado 2, letra b), y en su apartado 3, que deben establecerse las medidas adecuadas para salvaguardar los derechos y libertades y los intereses legítimos del interesado. En los casos a que se refiere el artículo 22, apartado 2, letras a) y c), del Reglamento, el responsable del tratamiento adoptará como mínimo medidas en relación con el derecho del interesado a obtener intervención humana, a expresar su punto de vista y a impugnar la decisión. ( 29 ) En el contexto del presente asunto, el órgano jurisdiccional remitente subraya el vínculo existente entre el derecho de acceso previsto en el artículo 15, apartado 1, letra h), del Reglamento y esos derechos del interesado a expresar su punto de vista y a impugnar la decisión automatizada.

50.

Según el Tribunal de Justicia, estos requisitos más estrictos establecidos en el RGPD para la licitud de una toma de decisiones automatizada, así como las obligaciones adicionales de información del responsable del tratamiento y los derechos de acceso adicionales del interesado correspondientes se explican por la finalidad que persigue el artículo 22 del RGPD, que consiste en proteger a las personas contra los riesgos específicos para sus derechos y libertades que supone el tratamiento automatizado de datos personales, incluida la elaboración de perfiles. ( 30 )

51.

De ello se desprende que, para determinar lo que abarca la «información significativa sobre la lógica aplicada» en una toma de decisiones automatizada, en el sentido del artículo 15, apartado 1, letra h), del RGPD, debe tenerse en cuenta la finalidad perseguida por el artículo 22 de dicho Reglamento, de modo que el interesado pueda ejercer efectivamente, sobre la base de esa información, los derechos que le confiere este último artículo.

52.

Desde esta perspectiva, cabe señalar que, de conformidad con el principio de transparencia, al que hace referencia el considerando 58 del RGPD y que consagra expresamente el artículo 12, apartado 1, de ese Reglamento, toda información dirigida al interesado debe ser concisa, fácilmente accesible y fácil de entender, y debe utilizarse un lenguaje claro y sencillo. ( 31 )

53.

Así, el Tribunal de Justicia ha deducido de dicha disposición que el responsable del tratamiento deberá tomar las medidas oportunas para facilitar al interesado toda información indicada, en particular, en el artículo 15 del RGPD, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. La citada disposición, expresión del principio de transparencia, tiene como objetivo garantizar que el interesado esté en condiciones de comprender plenamente la información que se le envíe. ( 32 )

54.

De estos elementos se desprende, según el Tribunal de Justicia, que la copia de los datos personales objeto de tratamiento, que el responsable del tratamiento debe facilitar en virtud del artículo 15, apartado 3, primera frase, del RGPD, debe presentar todas las características que permitan al interesado ejercer efectivamente sus derechos en virtud de ese Reglamento y, por consiguiente, debe reproducir de forma íntegra y auténtica esos datos. ( 33 )

55.

El Tribunal de Justicia también ha precisado que puede resultar necesario contextualizar los datos personales tratados para garantizar su inteligibilidad. Por ello, para que la información así facilitada sea fácil de entender, como exige el artículo 12, apartado 1, del RGPD, en relación con el considerando 58 de ese Reglamento, la reproducción de extractos de documentos, o incluso de documentos enteros, que contengan, entre otros, los datos personales objeto de tratamiento puede resultar indispensable. ( 34 )

56.

En particular, según el Tribunal de Justicia, cuando se generan datos personales a partir de otros datos o cuando tales datos se derivan de campos libres, a saber, una falta de indicación que revele una información sobre el interesado, el contexto en el que esos datos son objeto de tratamiento es un elemento indispensable para permitir al interesado disponer de un acceso transparente y una presentación inteligible de esos datos. ( 35 )

57.

En consecuencia, el derecho a obtener del responsable del tratamiento una copia de los datos personales objeto de tratamiento implica que se entregue al interesado una reproducción auténtica e inteligible de todos esos datos. Este derecho incluye el de obtener copia de extractos de documentos, o incluso de documentos enteros, o de extractos de bases de datos, que contengan, entre otros, dichos datos, si la entrega de tal copia es indispensable para permitir al interesado ejercer efectivamente los derechos que le confiere ese Reglamento. ( 36 )

58.

La jurisprudencia del Tribunal de Justicia relativa a los requisitos que debe cumplir el responsable del tratamiento al facilitar, en aplicación del artículo 15, apartado 3, primera frase, del RGPD, una copia de los datos personales objeto de tratamiento ofrece, en mi opinión, indicios valiosos para determinar las características que debe tener la «información significativa sobre la lógica aplicada» en la toma de decisiones automatizada, en el sentido del artículo 15, apartado 1, letra h), de dicho Reglamento.

59.

Ciertamente, de dicha jurisprudencia también se desprende que los datos personales de los que el responsable del tratamiento debe proporcionar una copia en virtud del artículo 15, apartado 3, primera frase, del referido Reglamento no deben confundirse con la información a la que el interesado tiene derecho a acceder en virtud del artículo 15, apartado 1, letras a) a h), del mismo Reglamento. ( 37 )

60.

Sin embargo, en mi opinión, no cabe duda alguna de que la exigencia de transparencia de la información comunicada que establece el artículo 12, apartado 1, del RGPD y en la que se basa dicha jurisprudencia se aplica, a la vista del propio tenor de esta disposición, al conjunto de sus datos e información, incluidos los que están vinculados a la adopción de una decisión automatizada.

61.

Por consiguiente, en el marco de la adopción de una decisión automatizada como la controvertida en el litigio principal, debe proporcionarse al interesado una copia de sus datos personales que hayan sido objeto de tratamiento que reproduzca de forma íntegra y auténtica dichos datos, de conformidad con lo previsto en el artículo 15, apartado 3, primera frase, del RGPD.

62.

Además, parece esencial que el interesado conozca el contexto en el que sus datos personales se tratan de forma automatizada, para que pueda ejercer los derechos que le confiere el RGPD, incluido el derecho a expresar su punto de vista sobre una decisión automatizada y a impugnarla.

63.

De hecho, este es el propósito mismo del artículo 15, apartado 1, letra h), del RGPD, que, en esencia, exige que el interesado sea informado del contexto en el que se ha tomado una decisión automatizada, en particular de la lógica aplicada en la adopción de la decisión.

64.

El conocimiento de este contexto por parte del interesado debe permitirle comprender el resultado al que se ha llegado mediante la decisión automatizada, al conocer los elementos esenciales del método y de los criterios utilizados. En resumen, el proceso, de carácter técnico, que ha conducido a esta decisión debe hacerse inteligible. Solo de este modo podrá el interesado ejercer los derechos que le confiere el RGPD, incluido el derecho a expresar su punto de vista sobre una decisión automatizada y a impugnarla. Por lo tanto, el concepto de «información significativa sobre la lógica aplicada» en la adopción de una decisión automatizada debe entenderse de manera funcional. ( 38 )

65.

A este respecto, el énfasis puesto por el legislador de la Unión en la necesidad de una información significativa está directamente relacionado con la naturaleza técnica del ámbito en cuestión, que hace necesario garantizar que dicha información sea inteligible y significativa para el interesado. Se trata de una condición necesaria para garantizar que la información le sea útil al interesado para que pueda ejercer efectivamente los derechos que le confiere el RGPD. Según las versiones lingüísticas del artículo 15, apartado 1, letra h), del RGPD, se hace hincapié en grados distintos en el carácter «inteligible» o «significativo» de la información, expresándose este doble sentido mediante el término «meaningful» en la versión lingüística inglesa. ( 39 ) Por lo tanto, en mi opinión, conviene adoptar una interpretación del concepto de «información significativa», en el sentido de esta última disposición, que permita, en el marco de un enfoque funcional, tener en cuenta estos significados, que son complementarios.

66.

Por lo tanto, el carácter significativo de la información para el interesado presupone —al igual que en el caso de la copia de los datos personales objeto de tratamiento que debe facilitarse en virtud del artículo 15, apartado 3, primera frase, del RGPD— que esta información sea concisa, fácilmente accesible y fácil de entender, con un lenguaje claro y sencillo. Por lo tanto, el interesado al que se comunique esta información debe poder comprender plenamente la información que se le envía. Desde esta perspectiva, puede resultar necesario contextualizar la información comunicada para garantizar que sea inteligible.

67.

En resumen, la «información significativa», tal y como exige el artículo 15, apartado 1, letra h), del RGPD, no solo debe ser clara y accesible, sino que también debe ir acompañada de explicaciones que garanticen su correcta comprensión. Ello es tanto más cierto cuando se trata facilitar al interesado información en un ámbito técnico. En este sentido, esta disposición ofrece al interesado un genuino derecho a una explicación del funcionamiento del mecanismo aplicado en la adopción de una decisión automatizada de que ha sido objeto dicho interesado y del resultado al que ha conducido dicha decisión. ( 40 ) A este respecto, ha de observarse que, de conformidad con el considerando 71 del RGPD, el interesado debe poder «recibir una explicación de la decisión tomada después de tal evaluación».

68.

A estos requisitos ha de añadirse que el interesado debe poder verificar la exactitud de los datos personales que le conciernen y de la información relativa a la lógica aplicada en la toma de decisiones automatizada. Por lo tanto, debe poder asegurarse de que existen una coherencia y un nexo de causalidad objetivamente verificables entre, por una parte, el método y los criterios utilizados y, por otra, el resultado al que se ha llegado mediante la decisión automatizada. En otras palabras, la información comunicada debe permitir a tal interesado comprobar si esta se corresponde con los hechos y, por tanto, si la decisión automatizada en cuestión se basa efectivamente en información exacta. ( 41 )

69.

A este respecto, ha de recordarse que, como se desprende de la resolución de remisión, la información facilitada a CK por D & B no parece ajustarse a la realidad, ya que no revelaba la elaboración efectiva de un perfil de aquella. No obstante, el Tribunal de Justicia ya ha subrayado que, habida cuenta de los riesgos específicos que entraña para sus derechos y libertades el tratamiento automatizado de datos personales, incluida la elaboración de perfiles, es importante, según el considerando 71 del RGPD, establecer garantías adecuadas y garantizar un tratamiento leal y transparente respecto del interesado, en particular mediante la utilización de procedimientos matemáticos o estadísticos adecuados para la elaboración de perfiles y la aplicación de medidas técnicas y organizativas apropiadas para garantizar que se reduce al máximo el riesgo de error. ( 42 )

70.

Esta exigencia de exactitud se ve reforzada, en mi opinión, si se considera, tal como declaró el Tribunal de Justicia en su sentencia de 7 de diciembre de 2023, SCHUFA Holding (Exoneración del pasivo insatisfecho), ( 43 ) a propósito del tratamiento de datos personales relacionados con la concesión de una exoneración del pasivo insatisfecho, que un tratamiento automatizado como el controvertido en el litigio principal constituye una injerencia grave en los derechos fundamentales del interesado, consagrados en los artículos 7 y 8 de la Carta. En efecto, los datos personales del interesado se tratan con el fin de evaluar su solvencia y, por tanto, constituyen información sensible sobre su vida privada. Su tratamiento puede perjudicar considerablemente los intereses del interesado, al impedirle entablar relaciones contractuales dirigidas a cubrir necesidades habituales. ( 44 )

71.

Por consiguiente, considero que una «información significativa sobre la lógica aplicada» en una toma de decisiones automatizada debe permitir al interesado ejercer los derechos que le garantiza el RGPD y, en particular, el artículo 22 de dicho Reglamento. Ello supone, en primer lugar, que el interesado pueda obtener información concisa, fácilmente accesible y fácil de entender, con un lenguaje claro y sencillo, sobre el método y los criterios utilizados para esta decisión. En segundo lugar, esta información debe ser suficientemente completa y estar suficientemente contextualizada para permitir al interesado verificar su exactitud y si existen una coherencia y una relación de causalidad objetivamente verificables entre, por una parte, el método y los criterios utilizados y, por otra, el resultado al que ha llegado la decisión automatizada.

72.

A la luz de estos elementos, no creo que el artículo 15, apartado 1, letra h), del RGPD deba interpretarse en el sentido de que impone al responsable del tratamiento la obligación de revelar al interesado información que, por su carácter técnico, es de una complejidad tal que no puede ser comprendida por personas que no tengan conocimientos técnicos particulares. ( 45 ) Tal es el caso, a mi juicio, de los algoritmos utilizados en la toma de decisiones automatizada.

73.

Es cierto que cabría sostener, en aras de una interpretación amplia de la obligación de transparencia, que el control de la forma en que un algoritmo trata los datos personales exige que dicho algoritmo se comunique al interesado. ( 46 ) Sin embargo, soy de la opinión de que la razón de ser de esta obligación consiste en permitir que este comprenda la información que se le comunica para que pueda ejercer los derechos que le confiere el RGPD. Desde esta perspectiva, las explicaciones accesibles sin necesidad de conocimientos técnicos particulares serán sin duda más «significativas» que una fórmula matemática compleja.

74.

En este mismo sentido, ha de señalarse que, como se desprende de las Directrices, puede que «resulte difícil entender cómo funciona un proceso de decisiones automatizadas o de elaboración de perfiles». Por lo tanto, «el responsable del tratamiento debe hallar formas sencillas de informar al interesado acerca de la lógica subyacente a los criterios utilizados para llegar a la decisión. El RGPD exige que el responsable del tratamiento ofrezca información significativa sobre la lógica aplicada, no necesariamente una compleja explicación de los algoritmos utilizados o la revelación de todo el algoritmo […]. No obstante, la información facilitada debe ser suficientemente exhaustiva para que el interesado entienda los motivos de la decisión». ( 47 ) Así pues, «el responsable del tratamiento debe ofrecer al interesado información general (a saber, sobre los factores que se han tenido en cuenta para el proceso de toma de decisiones y sobre su “peso” respectivo a nivel global) que le pueda servir para impugnar la decisión». ( 48 )

75.

Sin embargo, como señaló el Grupo de Trabajo sobre protección de datos del artículo 29 en sus Directrices, «la complejidad no es una excusa para no ofrecer información al interesado». ( 49 ) De ello se deduce que el responsable del tratamiento no puede invocar el carácter complejo de la información para negarse a cumplir la obligación que le incumbe en virtud del artículo 15, apartado 1, letra h), del RGPD. Le corresponde asegurarse de que facilita información, a la vez, accesible y completa para que el interesado pueda comprender el proceso que ha desembocado en la decisión automatizada de que ha sido objeto.

76.

Deduzco de estos elementos que el responsable del tratamiento no está obligado, en virtud del artículo 15, apartado 1, letra h), del RGPD, a facilitar al interesado información de carácter técnico que este no podría comprender, como los detalles de los algoritmos utilizados. ( 50 ) Por otro lado, el responsable del tratamiento debe cumplir su obligación de facilitar al interesado, en cada caso, información, a la vez, accesible y suficientemente completa sobre el proceso que condujo a la decisión automatizada en cuestión y sobre las razones que explican el resultado al que se llegó en dicha decisión. Así definida, la «información significativa sobre la lógica aplicada» en una toma de decisiones automatizada debe describir, en particular, el método utilizado y los criterios tenidos en cuenta, así como su ponderación. ( 51 ) Por tanto, el interesado debe poder comprender qué información se ha utilizado en la toma de decisión automatizada y cómo se ha tenido en cuenta y ponderado.

77.

Ha de señalarse también que esta disposición no impide, en mi opinión, que el responsable del tratamiento decida, de forma voluntaria, proporcionar al interesado información de carácter técnico, como detalles de los algoritmos utilizados, siempre que vaya acompañada de información que permita al interesado comprender el proceso que ha conducido a la decisión automatizada y el resultado que ha arrojado dicha decisión.

78.

Ha de añadirse que el artículo 15, apartado 1, letra h), del RGPD no debe interpretarse, en mi opinión, en el sentido de que obliga al responsable del tratamiento a facilitar al interesado datos personales relativos a terceros, pues en caso contrario los derechos de esos terceros se verían indirectamente afectados de forma negativa. Por otra parte, los ejemplos de operaciones de tratamiento similares facilitados de forma anonimizada, a efectos de su comparación, podrían permitir al interesado comprender mejor la decisión automatizada de que ha sido objeto.

79.

Corresponde al órgano jurisdiccional remitente, sobre la base de las indicaciones anteriores, determinar qué información debe ponerse a disposición del interesado en el procedimiento principal. A este respecto, dudo que, en su función de intérprete del Derecho de la Unión en virtud del artículo 267 TFUE, que debe distinguirse de la función de aplicación de dicho Derecho, que incumbe al órgano jurisdiccional nacional, el Tribunal de Justicia pueda ir tan lejos como desearía el órgano jurisdiccional nacional a la hora de determinar tal información en concreto.

80.

Además, procede precisar que la interpretación del concepto de «información significativa sobre la lógica aplicada» en la adopción de una decisión automatizada, en el sentido del artículo 15, apartado 1, letra h), del RGPD, que propongo al Tribunal de Justicia, permite considerar que el legislador de la Unión ya ha garantizado, en gran medida, el equilibrio entre, por una parte, la exigencia de transparencia en la que se basa dicha disposición y, por otra, la protección de los derechos y libertades de otros, que incluye la protección del secreto comercial. En efecto, en la medida en que, en mi opinión, este concepto no debería extenderse a la información de carácter técnico, como un algoritmo, que un interesado no está en condiciones de comprender sin poseer conocimientos especiales, el derecho de acceso garantizado por dicha disposición no debería dar lugar, en la mayoría de los casos, a una violación del secreto comercial que puede invocar legítimamente el responsable del tratamiento. Lo mismo cabe afirmar respecto a la protección de los datos personales de terceros, en la medida en que el referido concepto no debería, en principio, abarcar esos datos.

81.

Sin embargo, no puede descartarse que, en determinados casos, el derecho de acceso garantizado por el artículo 15, apartado 1, letra h) del RGPD pueda dar lugar a una vulneración de los derechos y libertades de otros. Tal infracción puede ser invocada por el responsable del tratamiento para justificar la negativa a comunicar información al interesado. Por otra parte, es posible que la información comunicada sea insuficiente para permitir verificar su exactitud y coherencia con el resultado a que llegó la decisión automatizada en cuestión, y que la transmisión de información adicional a efectos de esta verificación pueda vulnerar los derechos y libertades de otros. Por ello, es necesario determinar, como solicita el órgano jurisdiccional remitente, mediante qué mecanismos pueden conciliarse entonces los derechos e intereses en juego.

82.

Ha de recordarse que el órgano jurisdiccional remitente desea saber en esencia si y, en su caso, en qué medida la protección de los derechos y libertades de otros, como la protección de los secretos comerciales invocados por el responsable del tratamiento, puede limitar el alcance del derecho de acceso que le asiste en virtud del artículo 15, apartado 1, letra h), del RGPD.

83.

A este respecto, ha de señalarse de entrada que, en virtud del considerando 4 del RGPD, el derecho a la protección de los datos personales no es un derecho absoluto, sino que debe mantener el equilibrio con otros derechos fundamentales, con arreglo al principio de proporcionalidad. Por ello, el RGPD respeta todos los derechos fundamentales y observa las libertades y los principios reconocidos en la Carta de los Derechos Fundamentales conforme se consagran en los Tratados. ( 52 )

84.

Además, el considerando 63 del Reglamento establece que el derecho de todo interesado de acceder a los datos personales recogidos que le conciernan «no debe afectar negativamente a los derechos y libertades de terceros, incluidos los secretos comerciales o la propiedad intelectual y, en particular, los derechos de propiedad intelectual que protegen programas informáticos. No obstante, estas consideraciones no deben tener como resultado la negativa a prestar toda la información al interesado».

85.

Así, el artículo 15, apartado 4, del RGPD establece que «el derecho a obtener copia [de los datos personales objeto de tratamiento] no afectará negativamente a los derechos y libertades de otros».

86.

Asimismo, el artículo 23, apartado 1, letra i), del RGPD recuerda que el alcance de las obligaciones y derechos establecidos, en particular, en el artículo 15 del RGPD puede limitarse «cuando tal limitación respete en lo esencial los derechos y libertades fundamentales y sea una medida necesaria y proporcionada en una sociedad democrática para salvaguardar […] la protección […] de los derechos y libertades de otros». ( 53 )

87.

El Tribunal de Justicia ha deducido de estas disposiciones que el derecho, reconocido al interesado, a obtener una primera copia a título gratuito de sus datos personales objeto de tratamiento no es absoluto. ( 54 ) En particular, de conformidad con el artículo 15, apartado 4, del RGPD, en relación con el considerando 63 de ese Reglamento, el derecho a obtener copia mencionado en el apartado 3 no debe afectar negativamente a los derechos y libertades de terceros, incluidos los secretos comerciales o la propiedad intelectual y, en particular, los derechos de propiedad intelectual que protegen programas informáticos. ( 55 )

88.

De estos elementos se desprende que cabe justificar una limitación del derecho de acceso previsto en el artículo 15, apartado 1, letra h), del RGPD, por consideraciones relativas, en particular, a la protección de los derechos y libertades de otros, siempre y cuando tal limitación respete en lo esencial el referido derecho y sea una medida necesaria y proporcionada para salvaguardar dicha protección, como establece el artículo 23, apartado 1, letra i), del RGPD. ( 56 )

89.

Ahora bien, las consideraciones relativas a la protección del secreto comercial en el sentido del artículo 2, párrafo primero, punto 1, de la Directiva 2016/943 ( 57 ) pueden justificar una limitación del derecho de acceso previsto en el artículo 15, apartado 1, letra h), del RGPD.

90.

Ciertamente, el considerando 35 de la Directiva 2016/943 establece que «no debe afectar a los derechos y obligaciones previstos en la Directiva 95/46/CE [del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos ( 58 )], en particular los derechos del interesado de acceder a aquellos de sus datos personales que sean objeto de tratamiento y de obtener la rectificación, supresión o bloqueo de los datos debido a su carácter incompleto o inexacto». Dicho esto, me parece que las disposiciones del RGPD que he citado anteriormente, en caso de conflicto entre, por un lado, el ejercicio del derecho de acceso previsto en el artículo 15, apartado 1, letra h), de dicho Reglamento y, por otro, los derechos o libertades de otros, abogan por la posibilidad de efectuar una ponderación entre los derechos y libertades en cuestión. ( 59 )

91.

Así pues, como ya ha declarado el Tribunal de Justicia, siempre que sea posible, ha de optarse por modalidades de comunicación de datos personales que no vulneren los derechos o libertades de otros, teniendo en cuenta que, como se desprende del considerando 63 del RGPD, esas consideraciones no deben «tener como resultado la negativa a prestar toda la información al interesado». ( 60 )

92.

En esencia, el órgano jurisdiccional remitente desea saber qué formas podrían adoptar esos métodos de comunicación respetuosos con los derechos y libertades de otros en el contexto específico del artículo 15, apartado 1, letra h), del RGPD.

93.

A este respecto, ha de observarse que el Tribunal de Justicia ya ha declarado que un órgano jurisdiccional nacional puede considerar que se le deben comunicar datos personales de las partes o de terceros para poder ponderar los intereses en juego con pleno conocimiento de causa y respetando el principio de proporcionalidad. Esta apreciación puede llevarle, en su caso, a autorizar la divulgación total o parcial a la parte contraria de los datos personales que le hayan sido comunicados, si considera que tal divulgación no va más allá de lo necesario para garantizar el disfrute efectivo de los derechos que el artículo 47 de la Carta confiere a los justiciables. ( 61 )

94.

A mi juicio, esta jurisprudencia puede aplicarse a la información a que se refiere el artículo 15, apartado 1, letra h), del RGPD. A la luz de la citada jurisprudencia, considero que esta disposición, en relación con el considerando 63 y el artículo 23, apartado 1, letra i), del mismo Reglamento, ha de interpretarse en el sentido de que, cuando la información que debe facilitarse al interesado en virtud del derecho de acceso garantizado por la primera de estas disposiciones pueda dar lugar a una vulneración de los derechos y libertades de otros, en particular por contener datos personales de terceros protegidos por el RGPD o bien un secreto comercial, en el sentido del artículo 2, párrafo primero, punto 1, de la Directiva 2016/943, dicha información debe comunicarse a la autoridad de control o al órgano jurisdiccional competentes para que, con pleno conocimiento de causa y respetando el principio de proporcionalidad, así como la confidencialidad de la referida información, puedan efectuar una ponderación entre los intereses en juego y determinar el alcance del derecho de acceso que debe concederse a esa persona.

95.

Según la información facilitada por el órgano jurisdiccional remitente en su petición de decisión prejudicial, el artículo 4, apartado 6, de la DSG excluye, en principio, el derecho de acceso del interesado, previsto en el artículo 15 del RGPD, si dicho acceso pone en peligro un secreto comercial o empresarial del responsable del tratamiento o de terceros. A este respecto, considero que tal disposición no puede sustituir la ponderación que deben realizar caso por caso la autoridad o el órgano jurisdiccional competentes. En efecto, me parece que de la jurisprudencia del Tribunal de Justicia se desprende que, cuando debe llevarse a cabo una ponderación de los derechos e intereses en conflicto, un Estado miembro no puede establecer con carácter definitivo el resultado de dicha ponderación, ( 62 ) sin que se permita llegar a un resultado diferente en razón de las circunstancias concretas del caso particular. ( 63 )

96.

Habida cuenta de todas las consideraciones que preceden, propongo al Tribunal de Justicia que responda a las cuestiones prejudiciales planteadas por el Verwaltungsgericht Wien (Tribunal Regional de lo Contencioso-Administrativo de Viena, Austria) del modo siguiente:

«El artículo 15, apartado 1, letra h), del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), en relación con el considerando 63 y el artículo 23, apartado 1, letra i), de dicho Reglamento,

debe interpretarse en el sentido de que: