„Правно обвързващо решение на надзорен орган подлежи на пълен съдебен контрол по същество, което гарантира ефективна съдебна защита“
Становище на генералния адвокат по дело C-634/21 и в съвместни дела C-26/22 и C-64/22
Дело C-634/21 се отнася до производство между гражданин и провинция Хесен, представлявана от комисаря по защита на данните и свободата на информацията за Хесен (HBDI), относно защитата на личните данни. Като част от своята икономическа дейност, която се състои в предоставяне на своите клиенти на информация за кредитоспособността на трети страни, SCHUFA Holding AG (SCHUFA), частноправно дружество, предоставя на кредитна институция оценка за лице, послужила като основание за отказ за отпускане на кредита, за който кандидатства. Впоследствие лицето иска от SCHUFA да изтрие записа, който се отнася до него, и да предостави достъп до съответните данни. Дружеството обаче само дава информация за съответния резултат и в общи линии за принципите, залегнали в метода за изчисляване на резултата, без да конкретизира данните, включени в това изчисление, или за значението, което им се придава в този контекст, с аргумента, че методът на изчисление е търговска тайна.
Според лицето отказът на SCHUFA противоречи на правилата за защита на данните, а Административният съд на Висбаден се обръща към Съда на ЕС да се произнесе относно ограниченията, които Общият регламент относно защитата на данните (GDPR) налага върху икономическата дейност на reporting agencies във финансовия сектор, по-специално при управлението на данните, както и по последиците, които следва да се признаят за търговската тайна. Освен това Съдът трябва да изясни обхвата на регулаторните правомощия, които някои разпоредби от GDPR предоставят на националния законодател чрез дерогация от общата цел за хармонизиране, преследвана от този правен акт.
В своето заключение генералният адвокат заявява, на първо място, че GDPR установява „право“ на съответното лице да не бъде обект на решение, основаващо се единствено на автоматизирана обработка, включително профилиране.
След това генералният адвокат намира, че условията за това право са изпълнени, защото: разглежданата процедура представлява „профилиране“; решението поражда правни последици по отношение на съответното лице или по подобен начин значително го засяга, и решението се основава единствено на автоматизирана обработка.
Следователно разпоредбата на GDPR, която урежда това право, е приложима при обстоятелства като тези в главното производство.
Генералният адвокат посочва, че съгласно друга разпоредба на GDPR, съответното лице има право да получи от администратора не само потвърждение дали се обработват или не лични данни, които го засягат, но и друга информация, като напр. относно наличието на автоматизирано вземане на решения, включително профилиране, значима информация за включената логика, както и значението и предвидените последици от такава обработка за съответното лице. Той счита, че задължението за предоставяне на „смислена информация относно включената логика“ трябва да се разбира като включващо достатъчно подробни обяснения на използвания метод за изчисляване на резултата и причините за даден резултат. Като цяло, администраторът трябва да предостави на съответното лице обща информация, по-специално относно факторите, взети предвид в процеса на вземане на решения, и тяхната съответна тежест на общо ниво, което също е полезно за него или нея, за да оспори всяко „решение “ по смисъла на GDPR, като се признава „правото“ да не бъдете обект на решение, основаващо се единствено на автоматизирана обработка, включително профилиране.
Генералният адвокат счита, че тази разпоредба трябва да се тълкува в смисъл, че самото автоматизирано изготвяне на вероятностна оценка за възможностите на субекта на данните да обслужва кредит в бъдеще представлява решение, основаващо се единствено на автоматизирано обработване, включващо профилиране, което поражда правни последствия за субекта на данните или по подобен начин го засяга в значителна степен, при положение че администраторът съобщава на трето лице администратор оценката, която е определил с помощта на личните данни на субекта, и в съответствие с установена практика това трето лице основава до голяма степен на тази оценка решението си относно установяването, изпълняването или прекратяването на договорни отношения със субекта на данните.
В заключението относно GDPR по дела C-26/22 и C-64/22 генералният адвокат счита, че съхраняването на данни от частна агенция за кредитна информация не може да бъде законосъобразно съгласно разпоредбата на GDPR, определяща посочените по-горе условия, след като личните данни относно несъстоятелността са били изтрити от публичните регистри. Що се отнася до периода от шест месеца, през който личните данни са налични и в публичните регистри, запитващата юрисдикция трябва да балансира горепосочените интереси и въздействия върху засегнатото лице, за да определи дали паралелното съхраняване на тези данни чрез частен кредит информационни агенции е законосъобразно на това основание.