7.6.2022   

PT

Jornal Oficial da União Europeia

C 222/18

Pedido de decisão prejudicial apresentado pelo Verwaltungsgericht Wien (Áustria) em 16 de março de 2022 — CK

(Processo C-203/22)

(2022/C 222/30)

Língua do processo: alemão

Órgão jurisdicional de reenvio

Verwaltungsgericht Wien

Partes no processo principal

Recorrente: CK

Outras partes no processo: Dun & Bradstreet Austria GmbH, Magistrat der Stadt Wien

Questões prejudiciais

1)

Que requisitos de conteúdo devem ser preenchidos para que uma informação fornecida possa ser qualificada de suficientemente «útil» na aceção do artigo 15.o, n.o 1, alínea h), do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (a seguir «RGPD») (1)?

Devem ser divulgadas pelo responsável pelo tratamento as informações essenciais para permitir a compreensão do resultado da decisão automatizada no caso concreto da definição de perfis — se necessário, preservando ao mesmo tempo um segredo comercial existente — no âmbito da divulgação da «lógica subjacente» à definição desses perfis, em especial 1) a divulgação dos dados do titular que são objeto de tratamento, 2) a divulgação das partes do algoritmo em que se baseia o perfil necessárias para possibilitar a compreensão e 3) a informação relevante para estabelecer a ligação entre a informação tratada e a avaliação que foi realizada?

Em caso de definição de perfis, devem ser divulgadas à pessoa com direito de acesso ao abrigo do artigo 15.o, n.o 1, alínea h), do RGPD, em qualquer caso, ainda que tenha sido invocado um segredo comercial, as seguintes informações sobre o tratamento concreto que lhe diz respeito, a fim de lhe possibilitar a defesa dos seus direitos ao abrigo do artigo 22.o, n.o 3, do RGPD:

a)

Transmissão de todas as informações, se necessário pseudo-anonimizadas, em especial sobre o modo de tratamento dos dados do respetivo titular, que permitam a verificação do cumprimento do RGPD,

b)

Disponibilização dos dados de entrada utilizados para definir o perfil,

c)

Os parâmetros e variáveis de entrada utilizados na determinação da avaliação,

d)

A influência desses parâmetros e variáveis de entrada na avaliação obtida,

e)

Informações sobre a origem dos parâmetros ou variáveis de entrada,

f)

Explicação do motivo pelo qual foi atribuída uma determinada classificação à pessoa com direito de acesso ao abrigo do artigo 15.o, n.o 1, alínea h), do RGPD e exposição de critérios associada a essa avaliação,

g)

Enumeração das categorias de perfis e explicação sobre o critério de avaliação que está associado a cada uma das categorias de perfis?

2)

O direito de acesso concedido pelo artigo 15.o, n.o 1, alínea h), do RGPD está relacionado com os direitos de manifestar o seu ponto de vista e de contestar uma decisão automatizada, garantidos pelo artigo 22.o, n.o 3, do RGPD, na medida em que o alcance das informações a fornecer com base num pedido de informação ao abrigo do artigo 15.o, n.o 1, alínea h), do RGPD só é suficientemente «útil» se a pessoa que solicita a informação e titular dos dados na aceção do artigo 15.o, n.o 1, alínea h), do RGPD estiver em posição de exercer efetivamente e fazer valer os direitos que lhe são conferidos pelo artigo 22.o, n.o 3, do RGPD de manifestar o seu ponto de vista e contestar a decisão automatizada que lhe diz respeito nos termos do artigo 22.o do RGPD?

3)

a)

Deve o artigo 15.o, n.o 1, alínea h), do RGPD ser interpretado no sentido de que só se considera que há «informações úteis» na aceção dessa disposição quando essas informações são de tal modo extensas que possibilitam que a pessoa com direito de acesso ao abrigo do artigo 15.o, n.o 1, alínea h), do RGPD verifique também se essas informações concedidas correspondem aos factos e, portanto, se a decisão automatizada controvertida no caso concreto corresponde efetivamente às informações divulgadas?

b)

Em caso de resposta afirmativa: de que maneira se deve proceder se a exatidão das informações fornecidas por um responsável pelo tratamento só puder ser verificada se também tiverem de ser divulgados os dados de terceiros protegidos pelo RGPD («caixa negra») à pessoa com direito de acesso ao abrigo do artigo 15.o, n.o 1, alínea h), do RGPD?

Pode esta contradição entre o direito de acesso ao abrigo do artigo 15.o, n.o 1, do RGPD e os direitos de proteção de dados de terceiros ser resolvida igualmente através da divulgação dos dados de terceiros necessários para a verificação da exatidão, terceiros esses que também foram sujeitos ao mesmo perfil, exclusivamente à autoridade ou ao tribunal, de modo que a autoridade ou o tribunal terá de verificar autonomamente se os dados divulgados respeitantes a essas terceiras pessoas correspondem aos factos?

c)

Em caso de resposta afirmativa: que direitos devem ser concedidos à pessoa com direito de acesso ao abrigo do artigo 15.o, n.o 1, alínea h), do RGPD no caso de ser necessário assegurar a proteção dos direitos de terceiros ao abrigo do artigo 15.o, n.o 4, do RGPD, por meio da criação da caixa negra referida na alínea b) da terceira questão?

Nesse caso, devem os dados de outras pessoas a divulgar pelo responsável pelo tratamento, na aceção do artigo 15.o, n.o 1, do RGPD, ser divulgados sob forma pseudo-anonimizada à pessoa com direito de acesso ao abrigo do artigo 15.o, n.o 1, alínea h), do RGPD, a fim de permitir verificar a exatidão da tomada de decisão?

4)

a)

Como se deve proceder no caso de a informação a fornecer nos termos do artigo 15.o, n.o 1, alínea h), do RGPD preencher igualmente os requisitos de um segredo comercial na aceção do artigo 2.o, n.o 1, da Diretiva (UE) 2016/943, de 8 de junho de 2016, relativa à proteção de know-how e de informações comerciais confidenciais (segredos comerciais) contra a sua aquisição, utilização e divulgação ilegais (Diretiva Know-How) (2)?

Pode a contradição entre o direito de acesso garantido pelo artigo 15.o, n.o 1, alínea h), do RGPD e o direito à não divulgação de um segredo comercial protegido pela Diretiva Know-How ser solucionada mediante a divulgação das informações classificadas como segredo comercial na aceção do artigo 2.o, n.o 1, da Diretiva Know-How exclusivamente à autoridade ou ao tribunal, para que a autoridade ou o tribunal tenha de verificar autonomamente se se deve partir do princípio que há um segredo comercial na aceção do artigo 2.o, n.o 1, da Diretiva Know-How e se a informação fornecida pelo responsável pelo tratamento nos termos do artigo 15.o, n.o 1, do RGPD corresponde aos factos?

b)

Em caso de resposta afirmativa: quais os direitos que devem ser concedidos à pessoa com direito de acesso ao abrigo do artigo 15.o, n.o 1, alínea h), do RGPD no caso de ser necessário assegurar a proteção dos direitos de terceiros ao abrigo do artigo 15.o, n.o 4, do Regulamento Geral sobre a Proteção de Dados (RGPD), criando a caixa negra referida na alínea a) da quarta questão?

Nesse caso de discrepância entre a informação a divulgar à autoridade ou ao tribunal e a informação a divulgar à pessoa com direito de acesso ao abrigo do artigo 15.o, n.o 1, alínea h), do RGPD, em casos de definição de perfis, devem ser divulgadas à pessoa com direito de acesso ao abrigo do artigo 15.o, n.o 1, alínea h), do RGPD, a fim de lhe permitir assegurar plenamente a defesa dos seus direitos decorrentes do artigo 22.o, n.o 3, as seguintes informações relativas ao tratamento concreto que lhe diz respeito:

a)

Transmissão de todas as informações, se necessário pseudo-anonimizadas, que podem ser pseudo-anonimizadas, em especial sobre a forma de tratamento dos dados do respetivo titular, que permitam a verificação do cumprimento do RGPD

b)

Disponibilização dos dados de entrada utilizados para definir o perfil,

c)

Os parâmetros e variáveis de entrada utilizados na determinação da avaliação,

d)

A influência destes parâmetros e variáveis de entrada na avaliação calculada,

e)

Informações sobre a origem dos parâmetros ou variáveis de entrada,

f)

Explicação do motivo pelo qual foi atribuída uma determinada classificação à pessoa com direito de acesso ao abrigo do artigo 15.o, n.o 1, alínea h), do RGPD e exposição de critérios associada a essa avaliação,

g)

Enumeração das categorias de perfis e explicação sobre o critério de avaliação que está associado a cada uma das categorias de perfis?

5)

A disposição do artigo 15.o, n.o 4, do RGPD restringe de algum modo o âmbito das informações a fornecer nos termos do artigo 15.o, n.o 1, alínea h), do RGPD?

Em caso de resposta afirmativa, de que modo é este direito de acesso restringido pelo artigo 15.o, n.o 4, do RGPD, e como deve ser determinado o alcance dessa restrição no caso em apreço?

6)

A disposição do § 4, n.o 6, da Datenschutzgesetz (Lei de Proteção de Dados), segundo a qual «sem prejuízo de outras restrições legais, o direito de acesso do titular dos dados ao abrigo do artigo 15.o do RGPD perante o responsável pelo tratamento, por regra, não se mantém se o fornecimento de tal informação puser em risco um segredo comercial ou empresarial do responsável pelo tratamento ou de terceiros», é compatível com o disposto no artigo 15.o, n.o 1, em conjugação com o artigo 22.o, n.o 3, do RGPD? Em caso de resposta afirmativa, em que condições se verifica essa compatibilidade?

(1)  Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (JO 2016, L 119, p. 1).

(2)  Diretiva (UE) 2016/943 do Parlamento Europeu e do Conselho, de 8 de junho de 2016, relativa à proteção de know-how e de informações comerciais confidenciais (segredos comerciais) contra a sua aquisição, utilização e divulgação ilegais (JO 2016, L 157, p. 1).