Conclusie van advocaat-generaal J. Richard de la Tour van 12 september 2024

Uitspraak

Voorlopige editie

CONCLUSIE VAN ADVOCAAT-GENERAAL

J. RICHARD DE LA TOUR

van 12 september 2024 (¹)

Zaak C‑203/22

CK

in tegenwoordigheid van:

Dun & Bradstreet Austria GmbH,

Magistrat der Stadt Wien

[verzoek van het Verwaltungsgericht Wien (bestuursrechter in eerste aanleg Wenen, Oostenrijk) om een prejudiciële beslissing]

„ Prejudiciële verwijzing – Bescherming van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 15, lid 1, onder h) – Artikel 22 – Geautomatiseerde besluitvorming, waaronder profilering – Beoordeling van de kredietwaardigheid van een natuurlijke persoon – Inzage in nuttige informatie over de onderliggende logica van geautomatiseerde besluitvorming – Verificatie van de juistheid van de verstrekte gegevens en de samenhang ervan met de betrokken rating – Bescherming van de rechten en vrijheden van anderen – Richtlijn (EU) 2016/943 – Bedrijfsgeheimen ”

I.      Inleiding

1.        Dit verzoek om een prejudiciële beslissing betreft de uitlegging van, ten eerste, artikel 15, lid 1, onder h), en lid 4, alsmede artikel 22 van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)(²) (hierna: „AVG”) en, ten tweede, artikel 2, punt 1, van richtlijn (EU) 2016/943 van het Europees Parlement en de Raad van 8 juni 2016 betreffende de bescherming van niet-openbaar gemaakte knowhow en bedrijfsinformatie (bedrijfsgeheimen) tegen het onrechtmatig verkrijgen, gebruiken en openbaar maken daarvan(³).

2.        Dit verzoek is ingediend in het kader van een geding tussen CK en de Magistrat der Stadt Wien (stadsbestuur van Wenen, Oostenrijk) over het verzoek tot gedwongen tenuitvoerlegging van een rechterlijke beslissing waarbij een kredietinformatiebureau wordt gelast om CK nuttige informatie te verstrekken over de onderliggende logica van een profilering op basis van haar persoonsgegevens.

3.        In de hiernavolgende uiteenzetting zal ik verduidelijken wat mijns inziens moet worden verstaan onder „nuttige informatie over de onderliggende logica” van geautomatiseerde besluitvorming in de zin van artikel 15, lid 1, onder h), AVG, en hoe een afweging moet worden gemaakt tussen enerzijds het recht van inzage in dergelijke informatie en anderzijds de bescherming van de rechten en vrijheden van anderen, zoals het bedrijfsgeheim.

II.    Feiten van het hoofdgeding en prejudiciële vragen

4.        Een telecomprovider heeft geweigerd om voor CK een overeenkomst voor mobiele telefonie te sluiten of te verlengen waarvoor maandelijks 10 EUR zou moeten worden betaald, op grond dat zij niet voldoende kredietwaardig zou zijn. De vermeende onvoldoende kredietwaardigheid van CK was gebaseerd op een geautomatiseerde beoordeling van haar kredietwaardigheid door Bisnode Austria GmbH (inmiddels Dun & Bradstreet Austria GmbH; hierna: „D & B”), een onderneming die gespecialiseerd is in het verstrekken van kredietratings.

5.        CK heeft bij de Oostenrijkse autoriteit voor gegevensbescherming een verzoek ingediend om relevante informatie te verkrijgen over de onderliggende logica van de geautomatiseerde besluitvorming door D & B. Deze autoriteit heeft dit verzoek ingewilligd.

6.        D & B is bij het Bundesverwaltungsgericht (federale bestuursrechter in eerste aanleg, Oostenrijk) opgekomen tegen het besluit van de Oostenrijkse autoriteit voor gegevensbescherming waarbij zij werd verplicht de door CK gevraagde informatie te verstrekken.

7.        Bij beslissing van 23 oktober 2019 heeft die rechter dit besluit van de Oostenrijkse autoriteit voor gegevensbescherming gedeeltelijk bevestigd. Zo heeft hij vastgesteld dat D & B inbreuk had gemaakt op het krachtens artikel 15, lid 1, onder h), AVG aan CK toekomende recht van inzage, doordat zij CK geen nuttige informatie had verstrekt over de onderliggende logica van de geautomatiseerde besluitvorming met betrekking tot CK’s persoonsgegevens, of althans onvoldoende had gemotiveerd waarom zij deze informatie niet kon verstrekken.

8.        Die beslissing van het Bundesverwaltungsgericht is definitief geworden en is naar Oostenrijks recht uitvoerbaar.

9.        Het door CK ingediende verzoek tot gedwongen tenuitvoerlegging van die beslissing is door de uitvoerende autoriteit, de gemeente Wenen, niettemin afgewezen op grond dat D & B reeds voldoende aan haar informatieplicht had voldaan.

10.      CK heeft tegen dit besluit beroep ingesteld bij het Verwaltungsgericht Wien (bestuursrechter in eerste aanleg Wenen, Oostenrijk), de verwijzende rechter. Deze rechter wijst erop dat hij in het kader van dit rechtsmiddel gehouden is om in de plaats van de uitvoerende autoriteit een beslissing te nemen tot tenuitvoerlegging van de beslissing van het Bundesverwaltungsgericht. De verwijzende rechter moet dus concreet bepalen welke informatie D & B aan CK moet verstrekken.(⁴)

11.      Vanuit dit oogpunt is deze rechter van oordeel dat artikel 15, lid 1, onder h), AVG betrokkene een recht van inzage in juiste informatie verleent. De verwijzende rechter merkt in dit verband op dat er duidelijke aanwijzingen zijn dat de – weinige – informatie die tot op heden door D & B is verstrekt in strijd is met de feiten. Terwijl de aan CK verstrekte informatie een bijzonder hoge kredietwaardigheid voor haar zou hebben opgeleverd, is haar door de werkelijke profilering immers de facto elke solvabiliteit ontzegd, waaronder zelfs de financiële mogelijkheid om maandelijks een bedrag van 10 EUR te betalen. Er is dus sprake van een kennelijke tegenstrijdigheid tussen enerzijds de aan CK verstrekte informatie over haar verwerkte persoonsgegevens en over de onderliggende logica van de geautomatiseerde beoordeling, en anderzijds de gevolgen die de telecomprovider aan de daadwerkelijk vastgestelde rating heeft verbonden. Deze tegenstrijdigheid leidt tot twijfel over de juistheid van de tot dusver aan CK verstrekte informatie.

12.      Op basis van deze vaststelling wijst de verwijzende rechter erop dat de betrokkene, wanneer hij wordt onderworpen aan profilering, slechts een recht van inzage in juiste informatie kan doen gelden indien artikel 15, lid 1, onder h), AVG hem een recht van inzage verleent dat voldoende ruim is om hem in staat te stellen de samenhang en begrijpelijkheid van de verrichte beoordeling te verifiëren en na te gaan of de interne logica die hem in het kader van zijn recht van inzage is meegedeeld, daadwerkelijk heeft gediend als basis voor de profilering waaraan hij is onderworpen. Kortom, de betrokkene moet voldoende gedetailleerde informatie kunnen krijgen over de verwerkte persoonsgegevens en over de interne logica die aan de geautomatiseerde besluitvorming ten grondslag ligt, zodat hij het besluit kan begrijpen en de juistheid ervan kan controleren.

13.      Volgens deze rechter kan deze uitlegging van artikel 15, lid 1, onder h), AVG het nuttig effect van deze bepaling waarborgen door te verhinderen dat de verwerkingsverantwoordelijke onjuiste informatie verstrekt. Bovendien stelt deze uitlegging de betrokkene in staat de hem bij artikel 22, lid 3, van deze verordening verleende rechten uit te oefenen, te weten met name het recht om zijn standpunt over een geautomatiseerd individueel besluit kenbaar te maken en het recht om de samenhang en de juistheid daarvan aan te vechten.

14.      Deze rechter benadrukt dat het vereiste dat de betrokkene moet kunnen nagaan of de krachtens artikel 15, lid 1, onder h), AVG verstrekte informatie samenhangend en juist is, belangrijke gevolgen heeft voor de vraag in hoeverre de verwerkingsverantwoordelijke krachtens deze bepaling verplicht is informatie te verstrekken en hoe gedetailleerd die moet zijn.

15.      In het kader van het hoofdgeding heeft de verwijzende rechter een deskundige aangewezen om concreet vast te stellen welke informatie D & B krachtens de beslissing van het Bundesverwaltungsgericht aan CK moet verstrekken.

16.      Volgens de aangewezen deskundige is de informatie die de betrokkene op grond van het door artikel 15, lid 1, onder h), AVG gewaarborgde recht van inzage dient te ontvangen voldoende concreet om tot gedwongen tenuitvoerlegging te leiden, om ervoor te zorgen dat de geautomatiseerde besluitvorming begrijpelijk is en om de juistheid en de samenhang van de verstrekte informatie te verifiëren, indien deze op een voldoende gedetailleerde en uitgebreide wijze minimaal de volgende informatie omvat:

–        ten eerste de persoonsgegevens van de betrokkene die zijn verwerkt in het kader van het samenstellen van factoren en de wijzen van verwerking, waarbij wordt aangegeven of deze gegevens gewogen zijn;

–        ten tweede de essentiële onderdelen van het algoritme waarop de geautomatiseerde besluitvorming is gebaseerd, waaronder in ieder geval de wiskundige formule waarin alle voor de berekening van de kredietrating relevante informatie in de vorm van numerieke waarden kan worden ingevoerd, zodat deze formule in die rating resulteert, en een begrijpelijke uitleg van alle waarden die in deze formule zijn gebruikt, met name die welke niet rechtstreeks uit de opgeslagen informatie over de betrokkene zijn afgeleid, en

–        ten derde de relevante informatie aan de hand waarvan het verband kan worden gelegd tussen de verwerkte informatie en de verrichte beoordeling, met inbegrip van met name de vermelding en een adequate beschrijving van alle functies voor de beoordeling van alle in deze formule gebruikte waarden; de gegevens die nodig zijn om het verband te leggen tussen de informatie en de beoordeling in het geval van beoordelingen met tussenpozen, alsmede de gebruikte kadastrale functies of indexfuncties.

17.      Uit het deskundigenverslag blijkt dat CK de op haar toegepaste profilering enkel zou kunnen begrijpen indien haar de wiskundige formule en de functies voor de beoordeling van alle in die formule gebruikte waarden zouden worden verstrekt, zodat zij de haar bij artikel 22, lid 3, AVG verleende rechten om haar standpunt kenbaar te maken en het op een geautomatiseerde verwerking gebaseerde besluit aan te vechten, enkel dankzij deze informatie zou kunnen doen gelden.

18.      Om de juistheid van de verstrekte minimale informatie te kunnen controleren, zou D & B volgens dat verslag ook een lijst moeten opstellen en verstrekken van alle gegevens van ten minste 25 vergelijkbare gevallen van niet-geanonimiseerde profilering die op hetzelfde tijdstip als de profilering van CK zijn uitgevoerd en die volgens hetzelfde rekenvoorschrift zijn opgesteld. Deze lijst zou relatief volledig en uitgebreid moeten zijn en als basis voor een vergelijking moeten kunnen dienen.

19.      Wat het laatstgenoemde aspect betreft, merkt de verwijzende rechter op dat de verstrekking van dergelijke informatie afbreuk kan doen aan de rechten op bescherming van de persoonsgegevens die zijn beoordeeld in situaties die als vergelijkingsbasis dienen.

20.      Deze rechter vraagt zich dan ook af, met name gelet op artikel 9 van richtlijn 2016/943, of het conflict tussen de verschillende betrokken belangen zou kunnen worden opgelost indien de persoonsgegevens van derden die nodig zijn om de juistheid van de verstrekte minimale informatie te controleren, alleen aan de bevoegde autoriteit of de bevoegde rechter werden meegedeeld, die vervolgens onafhankelijk zou onderzoeken of deze gegevens van derden overeenstemmen met de feiten.

21.      De verwijzende rechter merkt tevens op dat volgens de rechtspraak van het Oberste Gerichtshof (hoogste federale rechter in burgerlijke en strafzaken, Oostenrijk) en de heersende rechtsleer het algoritme dat voor profilering wordt gebruikt, een bedrijfsgeheim in de zin van richtlijn 2016/943 is. De verwijzende rechter wijst er in dit verband op dat D & B zich voor haar weigering om voldoende informatie te verstrekken over de onderliggende logica van de geautomatiseerde besluitvorming erop beroept dat het algoritme waarop de verwerking is gebaseerd, een bedrijfsgeheim is, dat bescherming verdient. Ook hier vraagt deze rechter zich af of het conflict tussen de belangen van de betrokkene en die van de verwerkingsverantwoordelijke kan worden opgelost door de informatie die is aangemerkt als „bedrijfsgeheim” in de zin van artikel 2, punt 1, van richtlijn 2016/943 uitsluitend bekend te maken aan de bevoegde autoriteit of de bevoegde rechter, die onafhankelijk nagaat of die kwalificatie kan worden aanvaard en of de door de verwerkingsverantwoordelijke op grond van artikel 15, lid 1, onder h), AVG verstrekte informatie feitelijk juist is.

22.      De verwijzende rechter benadrukt evenwel dat deze wijze van oplossen van de conflicten tussen de verschillende betrokken belangen als nadeel heeft dat aan de betrokkene gedetailleerde informatie wordt onthouden, waardoor het door laatstgenoemde bepaling gewaarborgde recht van inzage wordt beperkt of zelfs onmogelijk wordt gemaakt. Dit zou tot gevolg kunnen hebben dat de betrokkene wordt belet om na te gaan of de door de verwerkingsverantwoordelijke verstrekte informatie begrijpelijk en juist is en om de rechten uit te oefenen die hem met name door artikel 22, lid 3, AVG en artikel 47 van het Handvest van de grondrechten van de Europese Unie(⁵) worden gewaarborgd.

23.      In het kader van de afweging die moet worden gemaakt tussen de belangen van de persoon die om een recht van inzage verzoekt en de belangen van de verwerkingsverantwoordelijke, verzoekt deze rechter tevens, met name gelet op § 4, lid 6, van het Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Oostenrijkse federale wet betreffende de bescherming van natuurlijke personen bij de verwerking van persoonsgegevens) van 17 augustus 1999(⁶), in de op het hoofdgeding toepasselijke versie(⁷) (hierna: „DSG”), om uitlegging van artikel 15, lid 4, en artikel 23, lid 1, onder i), AVG, gelezen in het licht van overweging 63 van deze verordening.

24.      In deze omstandigheden heeft het Verwaltungsgericht Wien de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:

„1)      Aan welke inhoudelijke vereisten moet een verstrekte inlichting voldoen om te kunnen worden aangemerkt als voldoende ‚nuttig’ in de zin van artikel 15, lid 1, onder h), [AVG]?

Moet – eventueel met inachtneming van een bestaand bedrijfsgeheim – in het geval van profilering door de verwerkingsverantwoordelijke in het kader van de openbaarmaking van de ‚onderliggende logica’ in beginsel ook de informatie worden verstrekt die van essentieel belang is om het resultaat van de geautomatiseerde besluitvorming in het individuele geval begrijpelijk te maken, zoals met name [...] de verwerkte gegevens van de betrokkene, [...] de delen van het aan de profilering ten grondslag liggende algoritme die noodzakelijk zijn voor de begrijpelijkheid, en [...] de relevante informatie waaruit het verband tussen de verwerkte informatie en de beoordeling daarvan blijkt?

Moet, ook wanneer het bestaan van een bedrijfsgeheim wordt tegengeworpen, in gevallen waarin wordt gebruikgemaakt van profilering, aan de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), [AVG] hoe dan ook de volgende informatie over de specifiek op hem betrekking hebbende verwerking worden verstrekt teneinde hem in staat te stellen om de hem krachtens artikel 22, lid 3, van die verordening toekomende rechten uit te oefenen:

a)      alle eventueel gepseudonimiseerde informatie, met name over de wijze van verwerking van de gegevens van de betrokkene, aan de hand waarvan kan worden nagegaan of de [AVG] wordt nageleefd;

b)      [de] informatie over de voor de profilering gebruikte invoergegevens;

c)      [de] informatie over de parameters en invoervariabelen die zijn gebruikt om de beoordeling te verrichten;

d)      [de] informatie over de invloed van deze parameters en invoervariabelen op de verrichte beoordeling;

e)      [de] informatie over de totstandkoming van de parameters en invoervariabelen;

f)      [de] informatie over de reden waarom aan de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), [AVG] een bepaald beoordelingsresultaat is toegekend en over de aan deze beoordeling verbonden conclusie, [alsmede]

g)      [de] opsomming van de profielcategorieën en [de] informatie over de beoordelingsconclusie die met elk van de profielcategorieën is verbonden?

2)      Bestaat er tussen enerzijds het bij artikel 15, lid 1, onder h), [AVG] toegekende recht van inzage en anderzijds het door artikel 22, lid 3, van deze verordening gewaarborgde recht om het eigen standpunt kenbaar te maken en het geautomatiseerde besluit aan te vechten in zoverre een verband dat de omvang van de op grond van een verzoek om inzage in de zin van artikel 15, lid 1, onder h), [AVG] te verstrekken informatie enkel voldoende „nuttig” is wanneer de om inzage verzoekende betrokkene in de zin van artikel 15, lid 1, onder h), van deze verordening in staat wordt gesteld om daadwerkelijk, diepgaand en met kans van slagen de rechten uit te oefenen die hem worden gegarandeerd door artikel 22, lid 3, van die verordening, te weten het recht om zijn eigen standpunt kenbaar te maken en om het op hem betrekking hebbende geautomatiseerde besluit als bedoeld in artikel 22 [AVG] aan te vechten?

3)      a)      Moet artikel 15, lid 1, onder h), [AVG] aldus worden uitgelegd dat er slechts van ‚nuttige informatie’ in de zin van deze bepaling sprake is wanneer deze informatie zo uitgebreid is dat de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), [AVG] kan nagaan of deze informatie ook overeenstemt met de feiten, dat wil zeggen of het specifiek opgevraagde geautomatiseerde besluit ook daadwerkelijk berust op de verstrekte informatie?

b)      Zo ja, hoe moet er worden gehandeld wanneer de door een verwerkingsverantwoordelijke verstrekte informatie slechts kan worden geverifieerd indien ook door de [AVG] beschermde gegevens van derden ter kennis van de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), van deze verordening worden gebracht (black box)?

Kan dit spanningsveld tussen het recht van inzage in de zin van artikel 15, lid 1, [AVG] en het recht op gegevensbescherming van derden ook worden opgeheven doordat de voor de verificatie vereiste gegevens van derden die aan dezelfde profilering zijn onderworpen, uitsluitend aan de bevoegde autoriteit of rechter worden verstrekt, zodat deze onafhankelijk dient na te gaan of de verstrekte gegevens van die derden feitelijk juist zijn?

c)      Zo ja, welke rechten moeten de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), [AVG] hoe dan ook worden toegekend indien de bescherming van de rechten van anderen in de zin van artikel 15, lid 4, van deze verordening moet worden gewaarborgd door het inrichten van een black box als bedoeld in de derde vraag, onder b)?

Moeten in dit geval aan de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), [AVG] ten minste, in gepseudonimiseerde vorm, de gegevens van anderen worden verstrekt die de verwerkingsverantwoordelijke in de zin van artikel 15, lid 1, van die verordening dient te verstrekken om de verificatie van de juistheid van de besluitvorming mogelijk te maken?

4)      a)      Hoe moet er worden gehandeld wanneer de op grond van artikel 15, lid 1, onder h), [AVG] informatie ook voldoet aan de voorwaarden waaronder er sprake is van een bedrijfsgeheim in de zin van artikel 2, punt 1, van [richtlijn 2016/943]?

Kan dit spanningsveld tussen het door artikel 15, lid 1, onder h), [AVG] gewaarborgde recht van inzage en het door [richtlijn 2016/943] beschermde recht op niet-openbaarmaking van bedrijfsgeheimen worden opgeheven door de als bedrijfsgeheim in de zin van artikel 2, punt 1, van [richtlijn 2016/943] aan te merken informatie uitsluitend te verstrekken aan de bevoegde autoriteit of rechter, zodat deze onafhankelijk dient na te gaan of er sprake is van een bedrijfsgeheim als bedoeld in die bepaling van [richtlijn 2016/943] en of de door de verwerkingsverantwoordelijke in de zin van artikel 15, lid 1, [AVG] verstrekte informatie feitelijk juist is?

b)      Zo ja, welke rechten moeten de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), [AVG] hoe dan ook worden toegekend indien de bescherming van de rechten van anderen in de zin van artikel 15, lid 4, van deze verordening moet worden gewaarborgd door het inrichten van een black box als bedoeld in de vierde vraag onder a)?

Moet (eveneens) in dit geval, waarin er sprake is van een discrepantie tussen de aan de bevoegde autoriteit of rechter te verstrekken informatie en de aan de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), [AVG] te verstrekken informatie, wanneer wordt gebruikgemaakt van profilering, aan die inzagegerechtigde hoe dan ook de volgende informatie over de specifiek op hem betrekking hebbende verwerking worden verstrekt teneinde hem volledig in staat te stellen om de hem krachtens artikel 22, lid 3, van die verordening toekomende rechten uit te oefenen:

i)      alle eventueel gepseudonimiseerde informatie, met name over de wijze van verwerking van de gegevens van de betrokkene, aan de hand waarvan kan worden nagegaan of de [AVG] wordt nageleefd;

ii)      [de] informatie over de voor de profilering gebruikte invoergegevens;

iii)      [de] informatie over de parameters en invoervariabelen die zijn gebruikt om de beoordeling te verrichten;

iv)      [de] informatie over de invloed van deze parameters en invoervariabelen op de verrichte beoordeling;

v)      [de] informatie over de totstandkoming van de parameters en invoervariabelen;

vi)      [de] informatie over de reden waarom aan de inzagegerechtigde in de zin van artikel 15, lid 1, onder h), [AVG] een bepaald beoordelingsresultaat is toegekend en over de aan deze beoordeling verbonden conclusie, [alsmede]

vii)      [de] opsomming van de profielcategorieën en [de] informatie over de beoordelingsconclusie die met elk van de profielcategorieën is verbonden?

5)      Wordt de omvang van de op grond van artikel 15, lid 1, onder h), [AVG] te verstrekken informatie op enigerlei wijze beperkt door artikel 15, lid 4, van deze verordening?

Zo ja, op welke wijze wordt dit recht van inzage door artikel 15, lid 4, van die verordening beperkt en hoe moet in het concrete geval de omvang van deze beperking worden vastgesteld?

6)      Is § 4, lid 6, [DSG], waarin is bepaald dat ‚[h]et recht van inzage dat de betrokkene krachtens artikel 15 [AVG] heeft jegens een verwerkingsverantwoordelijke, [...] onverminderd andere wettelijke beperkingen in de regel niet [bestaat] wanneer het verstrekken van de betreffende informatie afbreuk zou doen aan een bedrijfsgeheim van de verwerkingsverantwoordelijke of een derde’, verenigbaar met artikel 15, lid 1, juncto artikel 22, lid 3, van die verordening? Zo ja, onder welke voorwaarden is dat het geval?”

25.      Schriftelijke opmerkingen zijn ingediend door CK, D & B, de Spaanse, de Nederlandse en de Poolse regering, alsmede de Europese Commissie.

III. Analyse

A.      Opmerkingen vooraf

26.      Volgens de bewoordingen van artikel 22, lid 1, AVG heeft „de betrokkene [...] het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft”.(⁸) Het aldus verwoorde verbod geldt evenwel niet in de in artikel 22, lid 2, van deze verordening genoemde gevallen, waarop ik hieronder zal terugkomen.

27.      In zijn arrest van 7 december 2023, SCHUFA Holding e.a. (Scoring)(⁹), heeft het Hof geoordeeld dat artikel 22, lid 1, AVG aldus moet worden uitgelegd dat er sprake is van „geautomatiseerde individuele besluitvorming” in de zin van deze bepaling wanneer een waarschijnlijkheidswaarde die op persoonsgegevens van een persoon is gebaseerd en betrekking heeft op diens vermogen om in de toekomst betalingsverplichtingen na te komen, geautomatiseerd wordt vastgesteld door een kredietinformatiebureau en wanneer hoofdzakelijk van die waarschijnlijkheidswaarde afhangt of een derde, aan wie deze waarschijnlijkheidswaarde wordt doorgegeven, met die persoon een contractuele relatie tot stand brengt, uitvoert of beëindigt.(¹⁰)

28.      Naar aanleiding van dat arrest heeft het Hof de verwijzende rechter verzocht aan te geven of hij zijn verzoek om een prejudiciële beslissing wenste te handhaven, waarop hij bevestigend heeft geantwoord. Hij heeft namelijk in wezen geoordeeld dat dat arrest geen antwoord gaf op zijn vragen over met name de wijze waarop het conflict tussen de rechten van CK op bescherming van haar persoonsgegevens en de belangen van de verwerkingsverantwoordelijke met betrekking tot de bescherming van bedrijfsheimen kon worden opgelost. Bovendien is in dat arrest geen antwoord gegeven op de vraag over de vereiste mate van gedetailleerdheid van „nuttige informatie over de onderliggende logica” van geautomatiseerde besluitvorming in de zin van artikel 15, lid 1, onder h), AVG.

29.      De onderhavige zaak zal het Hof er dus toe brengen zijn arrest SCHUFA Holding e.a. (Scoring)(¹¹) aan te vullen door de omvang van het door deze bepaling gewaarborgde recht van inzage te specificeren.

30.      De verwijzende rechter dient namelijk de omvang en de mate van gedetailleerdheid te bepalen van de informatie die D & B moet verstrekken om te voldoen aan de vereisten van deze bepaling.

31.      Vanuit dit oogpunt verzoekt de verwijzende rechter het Hof om hulp met betrekking tot de volgende rechtsvragen.

32.      In de eerste plaats, wat moet worden verstaan onder „nuttige informatie over de onderliggende logica” van geautomatiseerde besluitvorming in de zin van artikel 15, lid 1, onder h), AVG? Bevat dergelijke informatie het algoritme dat voor die onderliggende logica is gebruikt? In hoeverre en in welke mate van gedetailleerdheid kan van de verwerkingsverantwoordelijke worden verlangd dat hij voldoende informatie verstrekt om de betrokkene in staat te stellen na te gaan of die informatie juist is en samenhangt met het betrokken ratingbesluit?

33.      In de tweede plaats, in hoeverre kan de bescherming van de rechten en vrijheden van anderen, met name de bescherming van het bedrijfsgeheim, van invloed zijn op de verplichting van de verwerkingsverantwoordelijke om „nuttige informatie over de onderliggende logica” van geautomatiseerde besluitvorming in de zin van artikel 15, lid 1, onder h), AVG te verstrekken? Welke mechanismen kunnen in voorkomend geval het conflict tussen de rechten van de betrokkene en de belangen van de verwerkingsverantwoordelijke oplossen?

34.      In zijn conclusie in de zaak die heeft geleid tot het arrest SCHUFA Holding e.a. (Scoring)(¹²) heeft advocaat-generaal Pikamäe een standpunt ingenomen over de belangrijkste aspecten van deze vragen. Zo heeft hij overwogen dat artikel 15, lid 1, onder h), AVG, gelezen in samenhang met overweging 63 van deze verordening, aldus moet worden uitgelegd dat het „in beginsel ook betrekking heeft op de berekeningsmethode die een kredietinformatiebureau gebruikt om een score vast te stellen, op voorwaarde dat er geen beschermingswaardige conflicterende belangen spelen”.(¹³)

35.      Hoewel de Uniewetgever, aldus advocaat-generaal Pikamäe, heeft gestreefd naar een juist evenwicht tussen de betrokken uiteenlopende rechten en belangen, heeft hij willen waarborgen dat „in ieder geval een minimum aan informatie [wordt] verstrekt om de wezenlijke inhoud van het recht op bescherming van persoonsgegevens niet in gevaar te brengen”.(¹⁴) Bijgevolg meent hij dat „de bescherming van het zakengeheim of van de intellectuele eigendom weliswaar in beginsel voor een kredietinformatiebureau een legitieme reden is om te weigeren het algoritme bekend te maken dat wordt gebruikt voor de berekening van de score van de betrokkene, maar dat zij geenszins een absolute weigering van informatie kan rechtvaardigen”.(¹⁵)

36.      In het licht van artikel 12, lid 1, AVG, dat bepaalt dat „[d]e verwerkingsverantwoordelijke passende maatregelen [neemt] opdat de betrokkene de [in artikel 15 bedoelde] communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt”(¹⁶), alsmede in het licht van overweging 58 van deze verordening heeft advocaat-generaal Pikamäe zich op het standpunt gesteld dat „het werkelijke doel van artikel 15, lid 1, onder h), AVG erin bestaat om de betrokkene, in overeenstemming met zijn behoeften, op begrijpelijke en toegankelijke wijze informatie te laten verkrijgen”(¹⁷). Hij is van mening dat „[g]elet op de complexiteit van het algoritme [...] deze vereisten [...] een eventuele verplichting tot openbaarmaking ervan al [uitsluiten]. Het is namelijk maar de vraag of het nut heeft een bijzonder ingewikkelde formule mee te delen zonder de nodige uitleg te verstrekken.”(¹⁸)

37.      Gelet op het voorgaande komt advocaat-generaal Pikamäe derhalve tot de slotsom dat „de verplichting om ‚nuttige informatie over de onderliggende logica’ te verstrekken aldus moet worden opgevat dat deze voldoende gedetailleerde gegevens dient te bevatten over de methode die is gebruikt om de score te berekenen en de redenen die tot een bepaald resultaat hebben geleid. In het algemeen dient de verwerkingsverantwoordelijke de betrokkene algemene informatie te verstrekken (met name over factoren die in het besluitvormingsproces in aanmerking zijn genomen en hun respectieve weging op een geaggregeerd niveau) die hem ook van nut is om elk ‚besluit’ in de zin van artikel 22, lid 1, AVG aan te vechten.”(¹⁹)

38.      Ik ben het in wezen eens met de door advocaat-generaal Pikamäe voorgestelde uitlegging, zoals ik hieronder nader zal toelichten.(²⁰)

B.      Prejudiciële vragen

39.      Met zijn prejudiciële vragen, die ik samen zal onderzoeken, wenst de verwijzende rechter in wezen van het Hof te vernemen of artikel 15, lid 1, onder h), AVG aldus moet worden uitgelegd dat onder „nuttige informatie over de onderliggende logica” van geautomatiseerde besluitvorming ook informatie valt die voldoende volledig is om de betrokkene in staat te stellen na te gaan of die informatie juist is en samenhangt met het betrokken ratingbesluit, waaronder het algoritme dat voor deze geautomatiseerde besluitvorming is gebruikt. Voorts wenst hij te vernemen of, en in voorkomend geval in hoeverre, de bescherming van de rechten en vrijheden van anderen, zoals de bescherming van het bedrijfsgeheim waarop de verwerkingsverantwoordelijke zich beroept, de omvang van het recht van inzage waarover de betrokkene krachtens deze bepaling beschikt, kan beperken.

1.      Begrip „nuttige informatie over de onderliggende logica” van geautomatiseerde besluitvorming

40.      Om te beginnen zij opgemerkt dat het Hof onlangs verschillende kenmerken van het in artikel 15 AVG vastgelegde recht van inzage heeft verduidelijkt toen het zich moest uitspreken over de omvang van het in lid 3, eerste volzin, van dit artikel vastgelegde recht op een kopie van de persoonsgegevens die worden verwerkt. Die rechtspraak lijkt mij nuttig om de vragen van de verwijzende rechter te beantwoorden.

41.      Artikel 15 AVG, met als opschrift „Recht van inzage van de betrokkene”, omschrijft in lid 1 het voorwerp en de werkingssfeer van het aan de betrokkene toegekende recht van inzage en bepaalt daarin het recht van de betrokkene om van de verwerkingsverantwoordelijke inzage te verkrijgen van zijn persoonsgegevens en de onder a) tot en met h) van dit lid genoemde informatie.

42.      Met de waarborging van een dergelijk recht wordt de verwezenlijking beoogd van de doelstellingen van de AVG, die – zoals blijkt uit de overwegingen 10 en 11 ervan – erin bestaan een consistent en hoog beschermingsniveau voor natuurlijke personen binnen de Europese Unie te waarborgen en de rechten van de betrokkenen te versterken en nader te omschrijven.(²¹)

43.      Artikel 15, lid 1, onder h), AVG bepaalt meer in het bijzonder dat een betrokkene het recht heeft door de verwerkingsverantwoordelijke te worden geïnformeerd over geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, van deze verordening bedoelde profilering(²²), en, ten minste in die gevallen, nuttige informatie over de onderliggende logica(²³) alsmede over het belang en de verwachte gevolgen van die verwerking voor de betrokkene te verkrijgen(²⁴).

44.      In het algemeen volgt uit de rechtspraak van het Hof dat het in artikel 15 AVG bedoelde recht van inzage de betrokkene in staat moet stellen zich ervan te vergewissen dat de hem betreffende persoonsgegevens juist zijn en rechtmatig zijn verwerkt.(²⁵)

45.      Bovendien moet de kopie van de persoonsgegevens die worden verwerkt en die de verwerkingsverantwoordelijke krachtens artikel 15, lid 3, eerste volzin, AVG moet verstrekken, alle noodzakelijke kenmerken vertonen om de betrokkene in staat te stellen de rechten die hij aan deze verordening ontleent daadwerkelijk uit te oefenen, en moet die kopie deze gegevens dus volledig en getrouw reproduceren.(²⁶)

46.      Dit recht van inzage is met name noodzakelijk om de betrokkene toe te laten om in voorkomend geval een aantal rechten uit te oefenen, namelijk zijn recht op rectificatie van gegevens, op gegevenswissing („recht op vergetelheid”), en op beperking van de verwerking, die hem respectievelijk worden toegekend door de artikelen 16, 17 en 18 AVG, alsook zijn in artikel 21 AVG vastgestelde recht om bezwaar te maken tegen de verwerking van zijn persoonsgegevens en zijn in de artikelen 79 en 82 AVG vastgelegde recht om zich tot de rechter te wenden wanneer hij schade lijdt.(²⁷)

47.      Wat het recht van de betrokkene op het verkrijgen van de in artikel 15, lid 1, onder h), bedoelde informatie betreft, voeg ik hieraan toe dat hij dankzij dit recht van inzage de rechten moet kunnen uitoefenen die hem worden verleend bij artikel 22 AVG, dat specifiek betrekking heeft op de situatie waarin de betrokkene wordt onderworpen aan een op geautomatiseerde verwerking gebaseerd besluit.

48.      Zoals ik hiervoor heb opgemerkt, voorziet artikel 22, lid 1, van deze verordening immers in het recht voor elke betrokkene om niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft.(²⁸) Dit verbod is evenwel niet van toepassing in de in artikel 22, lid 2, van deze verordening genoemde gevallen, namelijk indien dat besluit noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst tussen de betrokkene en een verwerkingsverantwoordelijke [onder a)], indien het is toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is [onder b)], of indien het berust op de uitdrukkelijke toestemming van de betrokkene [onder c)].

49.      Bovendien bepaalt artikel 22 AVG in lid 2, onder b), en in lid 3 dat moet worden voorzien in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene. In de in artikel 22, lid 2, onder a) en c), van deze verordening bedoelde gevallen voorziet de verwerkingsverantwoordelijke ten minste in het recht van de betrokkene op menselijke tussenkomst, het recht om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten.(²⁹) In het kader van de onderhavige zaak legt de verwijzende rechter de nadruk op het verband tussen het in artikel 15, lid 1, onder h), van deze verordening bedoelde recht van inzage en deze rechten van de betrokkene om zijn standpunt kenbaar te maken en het geautomatiseerde besluit aan te vechten.

50.      Volgens het Hof worden de hogere eisen in de AVG voor de rechtmatigheid van geautomatiseerde besluitvorming alsmede de aanvullende verplichtingen van de verwerkingsverantwoordelijke inzake informatieverstrekking en het daarmee verband houdende aanvullende recht van inzage van de betrokkene verklaard door het doel van artikel 22 AVG, dat erin bestaat personen te beschermen tegen de bijzondere risico’s voor hun rechten en vrijheden die met de geautomatiseerde verwerking van persoonsgegevens, met inbegrip van profilering, gepaard gaan.(³⁰)

51.      Hieruit volgt dat, teneinde te bepalen wat moet worden verstaan onder „nuttige informatie over de onderliggende logica” van geautomatiseerde besluitvorming in de zin van artikel 15, lid 1, onder h), AVG, rekening moet worden gehouden met het doel dat in artikel 22 van deze verordening wordt nagestreefd, zodat de betrokkene op basis van die informatie daadwerkelijk de bij dit artikel aan hem verleende rechten kan inroepen.

52.      In dit verband moet worden opgemerkt dat overeenkomstig het transparantiebeginsel, waarnaar overweging 58 AVG verwijst en dat uitdrukkelijk is vastgelegd in artikel 12, lid 1, van deze verordening, alle informatie die bestemd is voor de betrokkene beknopt, eenvoudig toegankelijk en begrijpelijk moet zijn en dat duidelijke en eenvoudige taal moet worden gebruikt.(³¹)

53.      Zo heeft het Hof uit deze bepaling afgeleid dat de verwerkingsverantwoordelijke passende maatregelen moet nemen opdat de betrokkene alle informatie, waaronder de in artikel 15 AVG bedoelde informatie, in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt. Deze bepaling, die uitdrukking geeft aan het transparantiebeginsel, beoogt te waarborgen dat de betrokkene de informatie die hem wordt verstrekt volledig kan begrijpen.(³²)

54.      Uit deze gegevens volgt volgens het Hof dat de kopie van de persoonsgegevens die worden verwerkt, die de verwerkingsverantwoordelijke krachtens artikel 15, lid 3, eerste volzin, AVG moet verstrekken, alle noodzakelijke kenmerken moet vertonen om de betrokkene in staat te stellen de rechten die hij aan deze verordening ontleent daadwerkelijk uit te oefenen. Deze kopie moet die gegevens dus volledig en getrouw reproduceren.(³³)

55.      Het Hof heeft ook aangegeven dat het noodzakelijk kan zijn om de verwerkte persoonsgegevens in hun context te plaatsen teneinde de begrijpelijkheid ervan te waarborgen. Om te waarborgen dat de aldus verstrekte informatie gemakkelijk te begrijpen is, zoals vereist in artikel 12, lid 1, AVG, gelezen in samenhang met overweging 58 van deze verordening, kan het daarom onontbeerlijk zijn dat uittreksels uit documenten of zelfs volledige documenten of databankuittreksels die onder meer de persoonsgegevens bevatten die worden verwerkt, worden gereproduceerd.(³⁴)

56.      Wanneer met name persoonsgegevens worden gegenereerd op basis van andere gegevens of wanneer dergelijke gegevens voortvloeien uit open tekstvelden, dat wil zeggen wanneer er geen data worden verstrekt en uit deze lacune informatie over de betrokkene valt af te leiden, is de context waarin deze gegevens worden verwerkt volgens het Hof een onontbeerlijk element om de betrokkene in staat te stellen op transparante wijze inzage te krijgen in die gegevens en er een begrijpelijk beeld van te krijgen.(³⁵)

57.      Derhalve houdt het recht om van de verwerkingsverantwoordelijke een kopie te verkrijgen van de persoonsgegevens die worden verwerkt, in dat aan de betrokkene een getrouwe en begrijpelijke reproductie van al deze gegevens moet worden gegeven. Dit recht omvat het recht om een kopie te verkrijgen van uittreksels uit documenten of zelfs van volledige documenten die onder meer die gegevens bevatten, indien de verstrekking van een dergelijke kopie onontbeerlijk is om de betrokkene in staat te stellen de hem bij deze verordening verleende rechten daadwerkelijk uit te oefenen.(³⁶)

58.      De rechtspraak van het Hof die betrekking heeft op de vereisten waaraan de verwerkingsverantwoordelijke moet voldoen wanneer hij op grond van artikel 15, lid 3, eerste volzin, AVG een kopie verstrekt van de persoonsgegevens die worden verwerkt, biedt mijns inziens waardevolle aanwijzingen om te bepalen wat de kenmerken moeten zijn van de „nuttige informatie over de onderliggende logica” van geautomatiseerde besluitvorming in de zin van artikel 15, lid 1, onder h), van deze verordening.

59.      Het is juist dat uit deze rechtspraak ook volgt dat de persoonsgegevens waarvan de verwerkingsverantwoordelijke krachtens artikel 15, lid 3, eerste volzin, van deze verordening een kopie moet verstrekken, niet samenvallen met de informatie met betrekking waartoe de betrokkene krachtens artikel 15, lid 1, onder a) tot en met h), van deze verordening recht van inzage heeft.(³⁷)

60.      Het lijdt mijns inziens echter geen twijfel dat het vereiste van transparantie van de meegedeelde informatie dat is genoemd in artikel 12, lid 1, AVG en waarop die rechtspraak berust, volgens de bewoordingen van deze bepaling van toepassing is op al deze gegevens en informatie, met inbegrip van die welke verband houden met de geautomatiseerde besluitvorming.

61.      Bijgevolg moet aan de betrokkene bij geautomatiseerde besluitvorming zoals die welke in het hoofdgeding aan de orde is, overeenkomstig artikel 15, lid 3, eerste volzin, AVG een kopie van zijn verwerkte persoonsgegevens worden verstrekt die deze gegevens volledig en getrouw reproduceert.

62.      Bovendien lijkt het onontbeerlijk dat de betrokkene kennis heeft van de context waarin zijn persoonsgegevens geautomatiseerd worden verwerkt, opdat hij in staat wordt gesteld de hem door de AVG toegekende rechten, waaronder de rechten om zijn standpunt kenbaar te maken over een geautomatiseerd besluit en dit besluit aan te vechten, uit te oefenen.

63.      Dat is overigens het doel van artikel 15, lid 1, onder h), AVG, dat in wezen voorschrijft dat de betrokkene moet worden geïnformeerd over de context waarin een geautomatiseerd besluit is genomen, en in het bijzonder over de onderliggende logica van die besluitvorming.

64.      De kennis die de betrokkene van deze context heeft, moet hem in staat stellen het resultaat van het geautomatiseerde besluit te begrijpen, doordat hij kennisneemt van de essentiële elementen van de toegepaste methode en criteria. Kortom, het technische proces dat tot dat besluit heeft geleid, moet begrijpelijk worden gemaakt. Alleen op die manier zal de betrokkene in staat zijn de hem door de AVG toegekende rechten uit te oefenen, waaronder de rechten om zijn standpunt over een geautomatiseerd besluit kenbaar te maken en dat besluit aan te vechten. Het begrip „nuttige informatie over de onderliggende logica” van geautomatiseerde besluitvorming moet dus functioneel worden opgevat.(³⁸)

65.      In dit verband houdt de nadruk die de Uniewetgever legt op de noodzaak van nuttige informatie rechtstreeks verband met de technische aard van het aan de orde zijnde gebied, waardoor moet worden gewaarborgd dat die informatie begrijpelijk en significant is voor de betrokkene. Dit is een noodzakelijke voorwaarde teneinde te waarborgen dat die informatie nuttig is om de betrokkene in staat te stellen de hem door de AVG gewaarborgde rechten daadwerkelijk uit te oefenen. De verschillende taalversies van artikel 15, lid 1, onder h), AVG leggen verschillende accenten op de kwestie van het „begrijpelijke” of „significante” karakter van de informatie. Zo wordt deze dubbele betekenis in de Engelse taalversie uitgedrukt met de term „meaningful”.(³⁹) Mijns inziens moet het begrip „nuttige informatie” in de zin van laatstgenoemde bepaling dus zodanig worden uitgelegd dat in het kader van een functionele benadering rekening kan worden gehouden met deze betekenissen, die elkaar aanvullen.

66.      Het nut van de informatie voor de betrokkene veronderstelt dus – net zoals het nut van de kopie die krachtens artikel 15, lid 3, eerste volzin, AVG moet worden verstrekt van de persoonsgegevens die worden verwerkt – dat deze informatie beknopt, eenvoudig toegankelijk en begrijpelijk is en in duidelijke en eenvoudige taal is gesteld. De betrokkene aan wie deze informatie wordt verstrekt, moet de aan hem gerichte informatie dus volledig kunnen begrijpen. Vanuit dit oogpunt kan het noodzakelijk zijn om de verstrekte informatie in haar context te plaatsen teneinde de begrijpelijkheid ervan te waarborgen.

67.      Kortom, „nuttige informatie”, zoals vereist door artikel 15, lid 1, onder h), AVG, moet niet alleen duidelijk en toegankelijk zijn, maar ook vergezeld gaan van toelichtingen die een goed begrip ervan waarborgen. Dit geldt des te meer wanneer het gaat om het verstrekken van technische informatie aan de betrokkene. In die zin biedt deze bepaling de betrokkene een daadwerkelijk recht op uitleg over de werking van het mechanisme dat ten grondslag ligt aan de geautomatiseerde besluitvorming over hem, en over het resultaat van dat besluit.(⁴⁰) Ik merk in dit verband op dat de betrokkene overeenkomstig overweging 71 AVG „uitleg over [het] na een dergelijke beoordeling genomen besluit [moet kunnen] krijgen”.

68.      Aan deze vereisten moet worden toegevoegd dat de betrokkene de juistheid moet kunnen nagaan van de hem betreffende persoonsgegevens en van de informatie over de onderliggende logica van de geautomatiseerde besluitvorming. Zo moet hij de mogelijkheid hebben om zich ervan te vergewissen dat er sprake is van een samenhang en een causaal verband – die objectief controleerbaar zijn – tussen de gebruikte methode en criteria enerzijds en het resultaat van het geautomatiseerde besluit anderzijds. Met andere woorden, de verstrekte informatie moet de betrokkene in staat stellen na te gaan of deze met de feiten overeenstemt en dus of het geautomatiseerde besluit in kwestie inderdaad op juiste informatie gebaseerd is.(⁴¹)

69.      In dit verband herinner ik eraan dat, zoals blijkt uit de verwijzingsbeslissing, de door D & B aan CK verstrekte informatie niet met de werkelijkheid lijkt overeen te stemmen, aangezien uit deze informatie niet de profilering voortvloeit die daadwerkelijk op haar was toegepast. Gelet op de specifieke risico’s van de geautomatiseerde verwerking van persoonsgegevens, waaronder profilering, voor de rechten en vrijheden van de betrokkenen heeft het Hof reeds benadrukt dat volgens overweging 71 AVG passende waarborgen moeten worden geboden en aan de betrokkene een behoorlijke en transparante verwerking moet worden gegarandeerd, in het bijzonder door passende wiskundig-statistische procedures te hanteren voor de profilering en door technische en organisatorische maatregelen te treffen waarmee het risico op fouten wordt geminimaliseerd.(⁴²)

70.      Dit vereiste van juistheid wordt naar mijn mening versterkt indien – zoals het Hof in zijn arrest van 7 december 2023, SCHUFA Holding (Kwijtschelding van restschulden)(⁴³), met betrekking tot de verwerking van persoonsgegevens inzake het verlenen van kwijtschelding van restschulden heeft gedaan – wordt aangenomen dat een geautomatiseerde verwerking zoals die welke in het hoofdgeding aan de orde is, een ernstige inmenging vormt in de grondrechten van de betrokkene die zijn verankerd in de artikelen 7 en 8 van het Handvest. De persoonsgegevens van de betrokkene worden immers verwerkt om zijn kredietwaardigheid te beoordelen en vormen dus gevoelige informatie over zijn privéleven. De verwerking ervan kan de belangen van de betrokkene ernstig schaden doordat hem wordt belet om contractuele betrekkingen aan te gaan die in gebruikelijke behoeften kunnen voorzien.(⁴⁴)

71.      Bijgevolg ben ik van mening dat de „nuttige informatie over de onderliggende logica” van geautomatiseerde besluitvorming de betrokkene in staat moet stellen de rechten uit te oefenen die hem door de AVG en in het bijzonder door artikel 22 van deze verordening worden gewaarborgd. Dit veronderstelt in de eerste plaats dat de betrokkene beknopte, eenvoudig toegankelijke en begrijpelijke informatie in duidelijke en eenvoudige taal kan verkrijgen over de methode en de criteria die voor dat besluit zijn gebruikt. In de tweede plaats moet deze informatie zodanig volledig en in haar context geplaatst zijn dat de betrokkene zich ervan kan vergewissen dat deze juist is en dat er sprake is van een samenhang en een causaal verband – die objectief controleerbaar zijn – tussen de gebruikte methode en criteria enerzijds en het resultaat van het geautomatiseerde besluit anderzijds.

72.      Gelet op een en ander ben ik niet van mening dat artikel 15, lid 1, onder h), AVG aldus moet worden uitgelegd dat het de verwerkingsverantwoordelijke verplicht om aan de betrokkene informatie mee te delen die wegens de technische aard ervan dermate complex is dat zij niet kan worden begrepen door personen die niet over een specifieke technische deskundigheid beschikken.(⁴⁵) Dit geldt naar mijn mening voor algoritmen die worden gebruikt bij geautomatiseerde besluitvorming.

73.      Het is juist dat op grond van een ruime uitlegging van de transparantieverplichting kan worden gesteld dat de wijze waarop persoonsgegevens door een algoritme worden verwerkt alleen kan worden gecontroleerd indien dit algoritme aan de betrokkene bekend wordt gemaakt.(⁴⁶) Ik ben evenwel van mening dat deze verplichting tot doel heeft de betrokkene in staat te stellen de hem meegedeelde informatie te begrijpen zodat hij de rechten kan doen gelden die hem door de AVG worden toegekend. In dit verband zal een uitleg die toegankelijk is zonder dat daarvoor een specifieke technische deskundigheid nodig is, zeker „nuttiger” zijn dan een complexe wiskundige formule.

74.      In dezelfde zin merk ik op dat het, zoals uit de richtsnoeren blijkt, „moeilijk [kan] zijn om te begrijpen hoe een geautomatiseerd besluitvormingsproces of profilering werkt”. Derhalve moet „[d]e verwerkingsverantwoordelijke [...] eenvoudige manieren vinden om de betrokkene uit te leggen wat de achterliggende gedachte is of op grond van welke criteria het besluit is genomen. De AVG verplicht de verwerkingsverantwoordelijke nuttige informatie over de onderliggende logica te verstrekken, niet noodzakelijkerwijs een ingewikkelde toelichting over de gebruikte algoritmen of een uiteenzetting van het volledige algoritme [...]. De verstrekte informatie moet echter volledig genoeg zijn voor de betrokkene om de redenen van het besluit te kunnen begrijpen.”(⁴⁷) „De verwerkingsverantwoordelijke moet de betrokkene [dus] algemene informatie verstrekken (met name over factoren die in het besluitvormingsproces in aanmerking zijn genomen, en hun respectieve ‚weging’ op een geaggregeerd niveau) die hem ook van nut is om het besluit aan te vechten.”(⁴⁸)

75.      Zoals de Groep gegevensbescherming artikel 29 in haar richtsnoeren evenwel heeft opgemerkt, is „[c]omplexiteit [...] geen excuus om de betrokkene geen informatie te verstrekken”.(⁴⁹) Hieruit volgt dat de verwerkingsverantwoordelijke zich niet op het complexe karakter van informatie kan beroepen om te weigeren de krachtens artikel 15, lid 1, onder h), AVG op hem rustende verplichting na te komen. Hij moet informatie verstrekken die zowel toegankelijk als volledig is, opdat de betrokkene het proces kan begrijpen dat tot het hem betreffende geautomatiseerde besluit heeft geleid.

76.      Hieruit leid ik af dat de verwerkingsverantwoordelijke krachtens artikel 15, lid 1, onder h), AVG niet verplicht is om de betrokkene technische informatie te verstrekken die hij niet kan begrijpen, zoals de details van de gebruikte algoritmen.(⁵⁰) Deze verwerkingsverantwoordelijke moet daarentegen wel voldoen aan zijn verplichting om de betrokkene in ieder geval zowel toegankelijke als voldoende volledige informatie te verstrekken over het proces dat tot het geautomatiseerde besluit in kwestie heeft geleid en over de redenen die het resultaat van dat besluit verklaren. Volgens deze betekenis moet „nuttige informatie over de onderliggende logica” van geautomatiseerde besluitvorming met name de gebruikte methode en de in aanmerking genomen criteria alsmede de weging daarvan beschrijven.(⁵¹) De betrokkene moet dus kunnen begrijpen welke informatie voor de geautomatiseerde besluitvorming is gebruikt en hoe deze in aanmerking is genomen en gewogen.

77.      Tevens moet worden opgemerkt dat deze bepaling zich er mijns inziens niet tegen verzet dat de verwerkingsverantwoordelijke vrijwillig besluit om de betrokkene technische informatie, zoals de details van de gebruikte algoritmen, te verstrekken, op voorwaarde evenwel dat die informatie vergezeld gaat van informatie die de betrokkene in staat stelt het proces dat tot het geautomatiseerde besluit heeft geleid en het resultaat van dat besluit te begrijpen.

78.      Ik voeg hieraan toe dat artikel 15, lid 1, onder h), AVG naar mijn mening niet betekent dat de verwerkingsverantwoordelijke de betrokkene persoonsgegevens van derden moet verstrekken, omdat daarmee indirect inbreuk zou worden gemaakt op de rechten van deze derden. De verstrekking aan de betrokkene van geanonimiseerde voorbeelden van vergelijkbare verwerkingen kan hem daarentegen in staat stellen het geautomatiseerde besluit jegens hem beter te begrijpen.

79.      Het staat aan de verwijzende rechter om op basis van bovenstaande aanwijzingen te bepalen welke informatie ter beschikking van betrokkene in het hoofdgeding moet worden gesteld. In dit verband betwijfel ik of het Hof – waaraan bij artikel 267 VWEU de taak is opgelegd om het Unierecht uit te leggen, die moet worden onderscheiden van de aan de nationale rechter toekomende taak om dit recht toe te passen – bij het bepalen van die informatie even ver kan gaan als die rechter wenst.

80.      Voorts wijs ik erop dat op basis van de door mij aan het Hof in overweging gegeven uitlegging van het begrip „nuttige informatie over de onderliggende logica” van geautomatiseerde besluitvorming in de zin van artikel 15, lid 1, onder h), AVG, kan worden geoordeeld dat de Uniewetgever reeds grotendeels het evenwicht heeft verzekerd tussen het transparantievereiste dat aan deze bepaling ten grondslag ligt en de bescherming van de rechten en vrijheden van anderen, waaronder de bescherming van bedrijfsgeheimen. Aangezien genoemd begrip zich volgens mij niet mag uitstrekken tot informatie van technische aard, zoals een algoritme, die een betrokkene niet kan begrijpen zonder over een specifieke deskundigheid te beschikken, zou het door die bepaling gewaarborgde recht van inzage er in de meeste gevallen namelijk niet toe leiden dat inbreuk wordt gemaakt op bedrijfsgeheimen waarop de verwerkingsverantwoordelijke zich rechtmatig kan beroepen. Hetzelfde geldt voor de bescherming van persoonsgegevens van derden, aangezien dit begrip in beginsel niet dergelijke gegevens mag omvatten.

81.      Daarbij zij aangetekend dat niet kan worden uitgesloten dat het door artikel 15, lid 1, onder h), AVG gewaarborgde recht van inzage in bepaalde gevallen een inbreuk op de rechten en vrijheden van anderen met zich mee kan brengen. Een dergelijke inbreuk kan door de verwerkingsverantwoordelijke worden ingeroepen ter rechtvaardiging van een weigering om de betrokkene informatie te verstrekken. Bovendien is het mogelijk dat de verstrekte informatie niet toereikend is om te kunnen nagaan of zij juist is en samenhangt met het resultaat van het betrokken geautomatiseerde besluit, en dat het verstrekken van aanvullende informatie teneinde dit te kunnen nagaan in strijd is met de rechten en vrijheden van anderen. Daarom moet worden bepaald, zoals de verwijzende rechter vraagt, via welke mechanismen de betrokken rechten en belangen met elkaar in overeenstemming kunnen worden gebracht.

2.      Afweging tussen de rechten van de betrokkene en de rechten en vrijheden van anderen

82.      In herinnering zij gebracht dat de verwijzende rechter in wezen wenst te vernemen of, en in voorkomend geval in hoeverre, de bescherming van de rechten en vrijheden van anderen, zoals de bescherming van het bedrijfsgeheim waarop de verwerkingsverantwoordelijke zich beroept, de omvang kan beperken van het recht van inzage waarover de betrokkene krachtens artikel 15, lid 1, onder h), AVG beschikt.

83.      In dit verband moet om te beginnen worden opgemerkt dat het recht op bescherming van persoonsgegevens volgens overweging 4 AVG geen absolute gelding heeft en het conform het evenredigheidsbeginsel moet worden afgewogen tegen andere grondrechten. De AVG eerbiedigt dus alle grondrechten alsook de vrijheden en beginselen die in het Handvest zijn erkend en in de Verdragen zijn verankerd.(⁵²)

84.      Bovendien staat in overweging 63 van deze verordening te lezen dat het recht van elke betrokkene om de persoonsgegevens die over hem zijn verzameld, in te zien „geen afbreuk [mag] doen aan de rechten of vrijheden van anderen, met inbegrip van het zakengeheim of de intellectuele eigendom en met name aan het auteursrecht dat de software beschermt. Die overwegingen mogen echter niet ertoe leiden dat de betrokkene alle informatie wordt onthouden.”

85.      Zo bepaalt artikel 15, lid 4, AVG dat „[h]et recht om een kopie [van de persoonsgegevens die worden verwerkt] te verkrijgen, [...] geen afbreuk [doet] aan de rechten en vrijheden van anderen”.

86.      Evenzo wordt er in artikel 23, lid 1, onder i), AVG op gewezen dat een beperking van de reikwijdte van de met name in artikel 15 AVG bedoelde rechten en verplichtingen mogelijk is „op voorwaarde dat die beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van [...] de bescherming [...] van de rechten en vrijheden van anderen”.(⁵³)

87.      Het Hof heeft uit deze bepalingen afgeleid dat het recht van de betrokkene op een eerste kosteloze kopie van de hem betreffende persoonsgegevens die worden verwerkt niet absoluut is.(⁵⁴) Zo mag het in artikel 15, lid 3, AVG bedoelde recht om een kopie van de persoonsgegevens die worden verwerkt te verkrijgen krachtens artikel 15, lid 4, van die verordening, gelezen in samenhang met overweging 63 ervan, geen afbreuk doen aan de rechten en vrijheden van anderen, waaronder bedrijfsgeheimen of intellectuele eigendom, in het bijzonder het auteursrecht dat software beschermt.(⁵⁵)

88.      Uit het voorgaande vloeit voort dat overwegingen die met name verband houden met de bescherming van de rechten en vrijheden van anderen een beperking van het door artikel 15, lid 1, onder h), AVG verleende recht van inzage kunnen rechtvaardigen, mits die beperking – zoals bepaald in artikel 23, lid 1, onder i), AVG – de wezenlijke inhoud van dat recht onverlet laat en een noodzakelijke en evenredige maatregel is ter waarborging van die bescherming.(⁵⁶)

89.      Overwegingen in verband met de bescherming van het bedrijfsgeheim in de zin van artikel 2, punt 1, van richtlijn 2016/943(⁵⁷) kunnen een beperking van het in artikel 15, lid 1, onder h), AVG bedoelde recht van inzage rechtvaardigen.

90.      Het is juist dat in overweging 35 van richtlijn 2016/943 staat te lezen dat deze richtlijn „geen afbreuk [mag] doen aan de rechten en verplichtingen die zijn vastgesteld in richtlijn 95/46/EG [van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens(⁵⁸)], in het bijzonder de rechten van degene wiens persoonsgegevens worden verwerkt op toegang tot die persoonsgegevens en op rectificatie, uitwissing of afscherming van onjuiste of onvolledige gegevens”. Niettemin lijken de bepalingen van de AVG waarnaar ik hierboven heb verwezen, in geval van een conflict tussen enerzijds de uitoefening van het in artikel 15, lid 1, onder h), van deze verordening bedoelde recht van inzage en anderzijds de rechten of vrijheden van anderen, te pleiten voor de mogelijkheid om de betrokken rechten en vrijheden tegen elkaar af te wegen.(⁵⁹)

91.      Zoals het Hof namelijk reeds heeft geoordeeld, moet – voor zover mogelijk –worden gekozen voor een wijze van verstrekking van de persoonsgegevens die geen afbreuk doet aan de rechten of vrijheden van anderen. Daarbij moet er rekening mee worden gehouden dat, zoals blijkt uit overweging 63 AVG, deze overwegingen er niet toe mogen „leiden dat de betrokkene alle informatie wordt onthouden.”(⁶⁰)

92.      De verwijzende rechter wenst in wezen te vernemen welke vormen dergelijke wijzen van informatieverstrekking waarbij de rechten en vrijheden van anderen worden geëerbiedigd, kunnen aannemen in de specifieke context van artikel 15, lid 1, onder h), AVG.

93.      In dit verband merk ik op dat het Hof reeds heeft geoordeeld dat een nationale rechter van oordeel kan zijn dat persoonsgegevens van de partijen of van derden aan hem moeten worden meegedeeld om met volledige kennis van zaken en met inachtneming van het evenredigheidsbeginsel de betrokken belangen te kunnen afwegen. Deze beoordeling kan er in voorkomend geval toe leiden dat de rechter de wederpartij gelast om de hem aldus meegedeelde persoonsgegevens geheel of gedeeltelijk aan de andere partij te verstrekken, indien deze rechter van oordeel is dat deze verstrekking niet verder gaat dan noodzakelijk is om te waarborgen dat justitiabelen daadwerkelijk de aan artikel 47 van het Handvest ontleende rechten genieten.(⁶¹)

94.      Die rechtspraak kan mijns inziens van toepassing zijn op de in artikel 15, lid 1, onder h), AVG bedoelde informatie. Gelet op die rechtspraak ben ik van mening dat deze bepaling, gelezen in samenhang met overweging 63 en artikel 23, lid 1, onder i), van deze verordening, aldus moet worden uitgelegd dat de informatie die aan de betrokkene moet worden verstrekt op grond van het door eerstgenoemde bepaling gewaarborgde recht van inzage, wanneer deze informatie kan leiden tot aantasting van de rechten en vrijheden van anderen – met name omdat zij persoonsgegevens van derden die door de AVG worden beschermd of een bedrijfsgeheim in de zin van artikel 2, punt 1, van richtlijn 2016/943 bevat – aan de bevoegde toezichthoudende autoriteit of de bevoegde rechter moet worden verstrekt, zodat die autoriteit of rechter met volledige kennis van zaken en met inachtneming van het evenredigheidsbeginsel en van de vertrouwelijkheid van die informatie de betrokken belangen kan afwegen en de omvang kan bepalen van het recht van inzage dat aan de betrokkene moet worden verleend.

95.      Volgens de door de verwijzende rechter in zijn verzoek om een prejudiciële beslissing verstrekte gegevens sluit § 4, lid 6, DSG in beginsel het in artikel 15 AVG bedoelde recht van inzage van de betrokkene uit wanneer die inzage afbreuk zou doen aan een bedrijfsgeheim van de verwerkingsverantwoordelijke of van derden. In dit verband ben ik van mening dat een dergelijke bepaling niet in de plaats kan komen van een afweging die van geval tot geval door de bevoegde autoriteit of de bevoegde rechter moet worden gemaakt. Mijns inziens komt uit de rechtspraak van het Hof naar voren dat een lidstaat, wanneer er tegengestelde rechten en belangen moeten worden afgewogen, niet de uitkomst van die afweging definitief mag vaststellen(⁶²) zonder ruimte te bieden voor een afwijkende uitkomst wegens de specifieke omstandigheden van een concreet geval(⁶³).

IV.    Conclusie

96.      Gelet op alle voorgaande overwegingen geef ik het Hof in overweging de prejudiciële vragen van het Verwaltungsgericht Wien te beantwoorden als volgt:

„Artikel 15, lid 1, onder h), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming), gelezen in samenhang met overweging 63 en artikel 23, lid 1, onder i), van deze verordening,

moet aldus worden uitgelegd dat:

–        wanneer een betrokkene wordt onderworpen aan automatische besluitvorming, met inbegrip van profilering, zoals bedoeld in artikel 22 van verordening 2016/679, de ‚nuttige informatie over de onderliggende logica’ van die geautomatiseerde besluitvorming ten aanzien waarvan die persoon recht van inzage heeft, betrekking heeft op de methode en de criteria die de verwerkingsverantwoordelijke daarvoor gebruikt;

–        deze informatie de betrokkene in staat moet stellen de rechten uit te oefenen die hij krachtens verordening 2016/679 en in het bijzonder artikel 22 ervan heeft. Deze informatie moet dus beknopt, eenvoudig toegankelijk en begrijpelijk zijn en in duidelijke en eenvoudige taal. Bovendien moet zij zodanig volledig en in haar context geplaatst zijn dat de betrokkene zich ervan kan vergewissen dat deze juist is en dat er sprake is van een samenhang en een causaal verband – die objectief controleerbaar zijn – tussen de gebruikte methode en criteria enerzijds en het resultaat van het betrokken geautomatiseerde besluit anderzijds;

–        de verwerkingsverantwoordelijke daarentegen niet verplicht is om aan de betrokkene informatie mee te delen die wegens de technische aard ervan dermate complex is dat zij niet kan worden begrepen door personen die niet over een specifieke technische deskundigheid beschikken, waardoor de verstrekking van de algoritmen die bij geautomatiseerde besluitvorming worden gebruikt, kan worden uitgesloten;

–        wanneer de informatie die aan de betrokkene moet worden verstrekt op grond van het door artikel 15, lid 1, onder h), van verordening 2016/679 gewaarborgde recht van inzage, kan leiden tot aantasting van de rechten en vrijheden van anderen, met name omdat zij persoonsgegevens van derden bevat die door deze verordening worden beschermd of een bedrijfsgeheim in de zin van artikel 2, punt 1, van richtlijn (EU) 2016/943 van het Europees Parlement en de Raad van 8 juni 2016 betreffende de bescherming van niet-openbaar gemaakte knowhow en bedrijfsinformatie (bedrijfsgeheimen) tegen het onrechtmatig verkrijgen, gebruiken en openbaar maken daarvan, die informatie aan de bevoegde toezichthoudende autoriteit of de bevoegde rechter moet worden verstrekt, zodat die autoriteit of rechter met volledige kennis van zaken en met inachtneming van het evenredigheidsbeginsel en van de vertrouwelijkheid van die informatie de betrokken belangen kan afwegen en de omvang kan bepalen van het recht van inzage dat aan de betrokkene moet worden verleend.”