Така се стига до решение на Съда на ЕС по дело C-203/22
Субектът на данните трябва да може да разбере и оспори автоматизираното решение, пише в решението на Съда на ЕС по дело C-203/22. Как се стигна до потвърждаването на очевидното – в Австрия мобилен телефонен оператор отказва на CK сключването на договор за мобилни телефонни услуги, което е свързано с месечно плащане на сума от 10 евро, с мотива, че съгласно автоматизираната ѝ кредитна оценка, извършена от D & B, тя няма достатъчно финансови възможности.
CK сезира австрийския орган за защита на данните, който разпорежда на D & B да предостави на CK съществена информация относно използваната логика за автоматизираното вземане на решения, основано на личните данни на CK.
D & B обжалва решението на този орган пред Bundesverwaltungsgericht (Федерален административен съд, Австрия), като по същество твърди, че поради защитена търговска тайна не е трябвало да предоставя на CK допълнителна информация освен вече предоставената ѝ.
С решение от 23 октомври 2019 г. тази юрисдикция констатира, че D & B е нарушило член 15, параграф 1, буква з) от ОРЗД/GDPR, като не е предоставило на CK съществена информация относно използваната логика за автоматизираното вземане на решения, основано на личните данни на CK, или най-малкото като не е мотивирало в достатъчна степен невъзможността да предостави тази информация.
По-специално в това решение Bundesverwaltungsgericht (Федерален административен съд) отбелязва, че D & B не е предоставило на CK достатъчно обяснения, които да ѝ позволят да разбере как по отношение на нея е била изготвена прогнозата относно вероятността от нейното бъдещо поведение („score“), която това предприятие ѝ е съобщило с уточнението, че за да се получи този „score“, на някои социално-демографски данни на CK е била „придадена еднаква тежест“.
Решението от 23 октомври 2019 г. е влязло в сила и подлежи на изпълнение по силата на австрийското право. Въпреки това молбата за принудително изпълнение на посоченото решение, подадена от CK до общинската администрация на град Виена, която е изпълняващият орган, е отхвърлена с мотива, че D & B е изпълнило в достатъчна степен задължението си за предоставяне на информация, въпреки че след приемането на същото решение това дружество не е предоставило никаква допълнителна информация.
CK подава жалба срещу решението на общинската администрация на град Виена пред Verwaltungsgericht Wien (Административен съд Виена, Австрия), който е запитващата юрисдикция, с цел принудителното изпълнение на решението от 23 октомври 2019 г.
Според Съда на ЕС администраторът трябва да опише процедурата и принципите, които действително се прилагат по такъв начин, че субектът на данните да може да разбере кои от неговите или нейните лични данни са били използвани и как са били използвани при автоматизираното вземане на решения.
За да се изпълнят изискванията за прозрачност и разбираемост, би могло по-специално да бъде целесъобразно субектът на данните да бъде информиран за степента, в която промяната в взетите предвид лични данни би довела до различен резултат. Обратно, самото съобщаване на алгоритъм не представлява достатъчно кратко и разбираемо обяснение.
Когато администраторът счита, че информацията, която трябва да бъде предоставена, съдържа защитени данни на трети страни или търговски тайни, администраторът трябва да предостави тази предполагаемо защитена информация на компетентния надзорен орган или съд. Този орган или съд трябва да балансира спорните права и интереси с оглед определяне на степента на правото на достъп на субекта на данни до тази информация.
В това отношение Съдът заявява, че GDPR изключва прилагането на национална разпоредба, която изключва по правило въпросното право на достъп, когато то би компрометирало търговска тайна на администратора или на трета страна.