Krav til 'Meningsfulde Oplysninger' om Kreditprofilering (Scoring) og Afvejning mod Forretningshemmeligheder i henhold til GDPR

Sagen vedrører en præjudiciel forelæggelse fra Verwaltungsgericht Wien (den regionale forvaltningsdomstol i Wien, Østrig) om fortolkningen af databeskyttelsesforordningens (GDPR) artikel 15, stk. 1, litra h). Bestemmelsen omhandler den registreredes ret til indsigt i logikken bag automatiske afgørelser, herunder profilering (scoring).

Sagens kerne involverer CK, som fik afvist en mobiltelefoniaftale på grund af utilstrækkelig kreditværdighed baseret på en automatisk scoring foretaget af kreditoplysningsbureauet Dun & Bradstreet (D&B). CK søgte indsigt i logikken bag profileringen. D&B hævdede, at de nødvendige detaljerede oplysninger udgjorde en beskyttet forretningshemmelighed, hvilket rejste spørgsmålet om, hvordan retten til indsigt skal afvejes mod beskyttelsen af erhvervsmæssige interesser og tredjemands personoplysninger.

Den forelæggende ret ønskede afklaret, hvor omfattende og detaljeret de oplysninger, der gives til den registrerede, skal være for at være 'meningsfulde', og om national lovgivning gyldigt kan begrænse indsigtsretten med henvisning til forretningshemmeligheder uden en konkret afvejning fra sag til sag.

Fortolkning af Indsigtsretten ved Automatisk Afgørelse

Domstolen fastslog, at GDPR's artikel 15, stk. 1, litra h), pålægger den dataansvarlige en forpligtelse til at give den registrerede en klar og forståelig forklaring på den automatiske profilering:

• Oplysningerne skal gives i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form.
• De skal forklare den procedure og de principper, der konkret er anvendt til automatisk at udnytte personoplysningerne om den registrerede med henblik på at opnå et bestemt resultat (f.eks. en kreditværdighedsprofil).
• Formålet er at sætte den registrerede i stand til effektivt at udøve sine rettigheder i henhold til artikel 22, stk. 3, navnlig retten til at fremkomme med synspunkter og bestride afgørelsen.

Domstolen præciserede, at denne forpligtelse ikke kræver fremlæggelse af den komplekse matematiske formel eller algoritmen i sin helhed, men snarere en forklaring på, hvilke datakategorier (inputvariabler) der har haft hvilken vægt eller indflydelse på det beregnede resultat.

Afvejning mod Forretningshemmeligheder og Tredjemands Oplysninger

• Hvis de oplysninger, der skal gives, omfatter forretningshemmeligheder (som defineret i direktiv 2016/943) eller personoplysninger om tredjemand, er den dataansvarlige forpligtet til at videregive disse beskyttede oplysninger til den kompetente tilsynsmyndighed eller den kompetente ret.