Acórdão do Tribunal de Justiça da União Europeia
Processo C-203/22

Edição provisória

CONCLUSÕES DO ADVOGADO‑GERAL

JEAN RICHARD DE LA TOUR

apresentadas em 12 de setembro de 2024 (1)

Processo C‑203/22

CK

sendo intervenientes:

Dun & Bradstreet Austria GmbH,

Magistrat der Stadt Wien (Administração do Município de Viena)

[pedido de decisão prejudicial apresentado pelo Verwaltungsgericht Wien (Tribunal Administrativo de Viena, Áustria)]

« Reenvio prejudicial — Proteção de dados pessoais — Regulamento (UE) 2016/679 — Artigo 15.°, n.° 1, alínea h) — Artigo 22.° — Decisão automatizada, incluindo a definição de perfis — Apreciação da solvabilidade de uma pessoa singular — Acesso a informações úteis relativas à lógica subjacente a uma decisão automatizada — Verificação da exatidão das informações prestadas e da sua coerência com a decisão de notação em causa — Proteção dos direitos e liberdades de outrem — Diretiva (UE) 2016/943 — Segredo comercial »

I. Introdução

1. O presente pedido de decisão prejudicial tem por objeto a interpretação, por um lado, do artigo 15.°, n.° 1, alínea h), e n.° 4, e do artigo 22.° do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (2) (a seguir «RGPD»), e, por outro, do artigo 2.°, n.° 1, da Diretiva (UE) 2016/943 do Parlamento Europeu e do Conselho, de 8 de junho de 2016, relativa à proteção de know‑how e de informações comerciais confidenciais (segredos comerciais) contra a sua aquisição, utilização e divulgação ilegais (3).

2. Este pedido foi apresentado no âmbito de um litígio que opõe CK ao Magistrat der Stadt Wien (Administração do Município de Viena, Áustria) relativo ao pedido de execução coerciva de uma decisão judicial que obriga uma sociedade de avaliação da solvabilidade a fornecer a CK informações úteis relativas à lógica subjacente a uma definição de perfil sobre os seus dados pessoais.

3. Nos desenvolvimentos que se seguem, procurarei explicar o que, na minha opinião, se deve entender por «informações úteis relativas à lógica subjacente» a uma decisão automatizada, na aceção do artigo 15.°, n.° 1, alínea h), do RGPD, e as condições em que deve ser estabelecido um equilíbrio entre, por um lado, o direito de acesso a essas informações e, por outro, a proteção dos direitos e liberdades de terceiros, como o segredo comercial.

II. Factos do litígio no processo principal e questões prejudiciais

4. Um operador de telefonia móvel recusou a CK a celebração ou a prorrogação de um contrato de telefonia móvel que implicava o pagamento mensal de 10 euros, com o fundamento de que não dispunha de solvência financeira suficiente. A alegada solvabilidade insuficiente de CK foi justificada por uma avaliação do seu crédito, a qual foi efetuada por via automatizada pela Bisnode Austria GmbH (atualmente Dun & Bradstreet Austria GmbH, a seguir «D & B»), uma empresa especializada na prestação de serviços de avaliação de crédito.

5. CK apresentou um pedido à autoridade austríaca para a proteção de dados destinado a obter informações pertinentes relativas à lógica subjacente a uma decisão automatizada da D & B. A autoridade austríaca para a proteção de dados deferiu o pedido.

6. A D & B impugnou no Bundesverwaltungsgericht (Tribunal Administrativo Federal, Áustria) a decisão da autoridade austríaca para a proteção de dados que a obrigava a comunicar as informações solicitadas pela CK.

7. Por Decisão de 23 de outubro de 2019, esse tribunal confirmou parcialmente a decisão da autoridade austríaca para a proteção de dados. Assim, considerou que a D & B tinha violado o direito de acesso de que CK beneficia ao abrigo do artigo 15.°, n.° 1, alínea h), do RGPD, ao não lhe fornecer informações úteis sobre a lógica subjacente à decisão automatizada sobre os dados pessoais de CK ou, pelo menos, ao não fundamentar suficientemente a impossibilidade em que alegadamente se encontrava de fornecer essas informações.

8. Esta decisão do Bundesverwaltungsgericht (Tribunal Administrativo Federal) tornou‑se definitiva e tem força executiva nos termos do direito austríaco.

9. O pedido de CK de execução coerciva da referida decisão foi, no entanto, indeferido pela autoridade de execução, o Município de Viena, com o fundamento de que D & B já tinha cumprido suficientemente a sua obrigação de informação.

10. CK interpôs recurso dessa decisão no Verwaltungsgericht Wien (Tribunal Administrativo de Viena, Áustria), o órgão jurisdicional de reenvio. Este tribunal observa que, no âmbito do presente recurso, está obrigado a tomar uma decisão, em substituição da autoridade de execução, tendo em vista a execução da decisão do Bundesverwaltungsgericht (Tribunal Administrativo Federal). Por conseguinte, o órgão jurisdicional de reenvio deve especificar quais são as informações que a D & B está obrigada a comunicar a CK (4).

11. Neste contexto, este órgão jurisdicional considera que o artigo 15.°, n.° 1, alínea h), do RGPD confere ao titular dos dados um direito de acesso a informações exatas. O referido órgão jurisdicional observa, a este respeito, que existem indícios claros de que as informações — escassas — fornecidas até à data pela D & B são contrárias aos factos. Com efeito, embora as informações fornecidas a CK lhe atribuíssem uma notação de crédito particularmente elevada, o seu perfil real negava‑lhe efetivamente qualquer solvabilidade, incluindo a possibilidade financeira de pagar mensalmente o montante de 10 euros. Existe, portanto, em seu entender, uma contradição evidente entre, por um lado, as informações comunicadas a CK sobre os seus dados pessoais tratados e sobre a lógica subjacente à avaliação realizada por via automatizada e, por outro lado, a conclusão tirada pelo operador de telefonia móvel a partir da notação efetivamente estabelecida. Esta contradição suscita dúvidas quanto à exatidão das informações fornecidas a CK até à presente data.

12. Com base nesta constatação, o órgão jurisdicional de reenvio precisa que, no caso de ser objeto de uma definição de perfil, o titular dos dados só pode invocar um direito de acesso a informações exatas se o artigo 15.°, n.° 1, alínea h), do RGPD lhe conceder um direito de acesso suficientemente amplo para lhe permitir verificar a coerência e a inteligibilidade da apreciação fornecida e discernir se a lógica interna que lhe foi comunicada no âmbito do seu direito de acesso serviu efetivamente de base à definição do perfil de que foi objeto. Em suma, o titular dos dados deve poder obter informações suficientemente pormenorizadas sobre os dados pessoais tratados e sobre a lógica interna subjacente à decisão automatizada para poder compreender esta última e verificar a sua exatidão.

13. Segundo este órgão jurisdicional, esta interpretação do artigo 15.°, n.° 1, alínea h), do RGPD é suscetível de garantir o efeito útil desta disposição, impedindo a transmissão de informações incorretas pelo responsável pelo tratamento. Além disso, a referida interpretação permite ao titular dos direitos exercer os direitos que lhe são conferidos pelo artigo 22.°, n.° 3, deste regulamento, nomeadamente o direito de manifestar o seu ponto de vista sobre uma decisão individual automatizada e de contestar a sua coerência e exatidão.

14. O referido órgão jurisdicional sublinha que a exigência de que o titular dos dados possa verificar a coerência e a exatidão das informações fornecidas em aplicação do artigo 15.°, n.° 1, alínea h), do RGPD tem consequências importantes no que respeita à questão de saber em que medida e com que nível de pormenor o responsável pelo tratamento está obrigado a divulgar informações por força desta disposição.

15. No âmbito do processo principal, o órgão jurisdicional de reenvio nomeou um perito para especificar quais são as informações que a D & B está obrigada a comunicar a CK por força da decisão do Bundesverwaltungsgericht (Tribunal Administrativo Federal).

16. Segundo o perito designado, para permitir uma especificação suscetível de dar origem a execução coerciva, para assegurar o caráter inteligível da decisão automatizada e para verificar a exatidão e a coerência das informações fornecidas, o titular dos dados deve receber, por força do direito de acesso que lhe é garantido pelo artigo 15.°, n.° 1, alínea h), do RGPD, de forma suficientemente pormenorizada e circunstanciada, as seguintes informações mínimas:

– em primeiro lugar, os dados pessoais do titular dos dados tratados no contexto da constituição de fatores, de que forma, segundo que modalidades, indicando se esses dados foram ponderados;

– em segundo lugar, os elementos essenciais do algoritmo em que se baseia a decisão automatizada, incluindo, em todo o caso: a fórmula matemática na qual podem ser introduzidas, sob a forma de valores numéricos, todas as informações pertinentes para o cálculo da notação de crédito, de modo que essa fórmula resulte nessa notação, e a explicação inteligível de todos os valores utilizados nessa fórmula, nomeadamente os que não derivam diretamente das informações armazenadas sobre o titular dos dados, e

– em terceiro lugar, as informações pertinentes que permitem estabelecer a relação entre as informações tratadas e a avaliação realizada, o que inclui, nomeadamente, a indicação e a descrição adequada das funções de avaliação de todos os valores utilizados nesta fórmula; a apresentação das informações necessárias para estabelecer a relação entre as informações e a avaliação, no caso de avaliações por intervalos, bem como a apresentação das funções cadastrais ou de índices utilizadas.

17. Resulta do relatório de perícia que só a comunicação da fórmula matemática e das funções de avaliação de todos os valores utilizados nessa fórmula permitiria a CK compreender a definição de perfil de que foi objeto, pelo que só com base nessa informação é que ela poderia exercer os direitos que lhe são conferidos pelo artigo 22.°, n.° 3, do RGPD de manifestar o seu ponto de vista e contestar a decisão baseada num tratamento automatizado.

18. Segundo o mesmo relatório, a fim de permitir a verificação da exatidão das informações mínimas comunicadas, a D & B deveria igualmente elaborar e apresentar, de forma relativamente completa e circunstanciada e para servir de base de comparação, uma lista de todas as informações relativas a, pelo menos, 25 casos de perfis comparáveis não anonimizados, contemporâneos do perfil a que CK foi sujeito e definidos com base na mesma regra de cálculo.

19. Quanto a este último aspeto, o órgão jurisdicional de reenvio salienta que a comunicação de tais informações é suscetível de afetar os direitos à proteção dos dados pessoais avaliados nos casos de definição de perfis que servem de base de comparação.

20. Por conseguinte, este órgão jurisdicional interroga‑se, tendo em conta, nomeadamente, o que prevê o artigo 9.° da Diretiva 2016/943, se o conflito entre os diferentes interesses em causa poderia ser resolvido se os dados pessoais de terceiros necessários para verificar a exatidão das informações mínimas transmitidas fossem comunicados apenas à autoridade ou ao tribunal competentes, que examinariam, de forma independente, se esses dados de terceiros correspondem aos factos.

21. O órgão jurisdicional de reenvio observa ainda que, segundo a jurisprudência do Oberster Gerichtshof (Supremo Tribunal de Justiça, Áustria) e a doutrina dominante, o algoritmo utilizado na definição de perfis constitui um segredo comercial na aceção da Diretiva 2016/943. O órgão jurisdicional de reenvio refere, a este respeito, que a D & B invocou a existência de um segredo comercial digno de proteção relativamente ao algoritmo em que se baseia o tratamento para recusar a comunicação de informações suficientes sobre a lógica subjacente à decisão automatizada. Mais uma vez, esse tribunal interroga‑se sobre se o conflito entre os interesses do titular dos dados e os do responsável pelo tratamento poderia ser resolvido se as informações classificadas como «segredo comercial», na aceção do artigo 2.°, n.° 1, da Diretiva 2016/943, fossem divulgadas apenas à autoridade ou ao tribunal competentes, que verificariam de forma independente se essa classificação pode ser mantida e se as informações fornecidas pelo responsável pelo tratamento em aplicação do artigo 15.°, n.° 1, alínea h), do RGPD correspondem à realidade.

22. O órgão jurisdicional de reenvio salienta, no entanto, que este método de resolução de conflitos entre os diferentes interesses envolvidos tem o inconveniente de privar o titular dos dados de informações pormenorizadas, o que limita, ou mesmo impossibilita, o direito de acesso garantido por esta última disposição. Tal poderia ter por efeito impedir o titular dos dados de verificar se a informação fornecida pelo responsável pelo tratamento é compreensível e exata e de exercer os direitos que lhe são garantidos, nomeadamente, pelo artigo 22.°, n.° 3, do RGPD e pelo artigo 47.° da Carta dos Direitos Fundamentais da União Europeia (5).

23. No âmbito da ponderação a efetuar entre os interesses do requerente de um direito de acesso e os do responsável pelo tratamento, esse órgão jurisdicional pede igualmente, tendo em conta, nomeadamente, o disposto no § 4, n.° 6, da Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Lei Federal relativa à Proteção das Pessoas Singulares em Matéria de Tratamento de Dados Pessoais), de 17 de agosto de 1999 (6), na versão aplicável ao processo principal (7) (a seguir «DSG»), a interpretação do artigo 15.°, n.° 4, e do artigo 23.°, n.° 1, alínea i), RGPD, lidos à luz do considerando 63 deste regulamento.

24. Nestas condições, o Verwaltungsgericht Wien (Tribunal Administrativo de Viena) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:

«1) Que requisitos de conteúdo devem ser preenchidos para que uma informação fornecida [no âmbito de um direito de acesso] possa ser qualificada de suficientemente “útil” na aceção do artigo 15.°, n.° 1, alínea h), do [RGPD]?

Devem ser divulgadas pelo responsável pelo tratamento as informações essenciais para permitir a compreensão do resultado da decisão automatizada no caso concreto da definição de perfis — se necessário, preservando ao mesmo tempo um segredo comercial existente — no âmbito da divulgação da “lógica subjacente” à definição desses perfis, em especial: [...] [os] dados do titular que são objeto de tratamento; [...] [as] partes do algoritmo em que se baseia o perfil necessárias para possibilitar a compreensão e [...] a informação relevante para estabelecer a ligação entre a informação tratada e a avaliação que foi realizada?

Em caso de definição de perfis, devem ser divulgadas à pessoa com direito de acesso ao abrigo do artigo 15.°, n.° 1, alínea h), do RGPD, em qualquer caso, ainda que tenha sido invocado um segredo comercial, as seguintes informações sobre o tratamento concreto que lhe diz respeito, a fim de lhe possibilitar a defesa dos seus direitos ao abrigo do artigo 22.°, n.° 3, do RGPD:

a) Transmissão de todas as informações, se necessário pseudoanonimizadas, em especial sobre o modo de tratamento dos dados do respetivo titular, que permitam a verificação do cumprimento do RGPD,

b) Disponibilização dos dados de entrada utilizados para definir o perfil,

c) Os parâmetros e variáveis de entrada utilizados na determinação da avaliação,

d) A influência desses parâmetros e variáveis de entrada na avaliação obtida,

e) Informações sobre a origem dos parâmetros ou variáveis de entrada,

f) Explicação do motivo pelo qual foi atribuída uma determinada classificação à pessoa com direito de acesso ao abrigo do artigo 15.°, n.° 1, alínea h), do RGPD e exposição de critérios associada a essa avaliação, [e]

g) Enumeração das categorias de perfis e explicação sobre o critério de avaliação que está associado a cada uma das categorias de perfis?

2) O direito de acesso concedido pelo artigo 15.°, n.° 1, alínea h), do RGPD está relacionado com os direitos de manifestar o seu ponto de vista e de contestar uma decisão automatizada, garantidos pelo artigo 22.°, n.° 3, do RGPD, na medida em que o alcance das informações a fornecer com base num pedido de informação ao abrigo do artigo 15.°, n.° 1, alínea h), do RGPD só é suficientemente “útil” se a pessoa que solicita a informação e titular dos dados na aceção do artigo 15.°, n.° 1, alínea h), do RGPD estiver em posição de exercer efetivamente e fazer valer os direitos que lhe são conferidos pelo artigo 22.°, n.° 3, do RGPD de manifestar o seu ponto de vista e contestar a decisão automatizada que lhe diz respeito nos termos do artigo 22.° do RGPD?

3 a) Deve o artigo 15.°, n.° 1, alínea h), do RGPD ser interpretado no sentido de que só se considera que há “informações úteis” na aceção dessa disposição quando essas informações são de tal modo extensas que possibilitam que a pessoa com direito de acesso ao abrigo do artigo 15.°, n.° 1, alínea h), do RGPD verifique também se essas informações concedidas correspondem aos factos e, portanto, se a decisão automatizada controvertida no caso concreto corresponde efetivamente às informações divulgadas?

b) Em caso de resposta afirmativa: de que maneira se deve proceder se a exatidão das informações fornecidas por um responsável pelo tratamento só puder ser verificada se também tiverem de ser divulgados os dados de terceiros protegidos pelo RGPD (“caixa negra”) à pessoa com direito de acesso ao abrigo do artigo 15.°, n.° 1, alínea h), do RGPD?

Pode esta contradição entre o direito de acesso ao abrigo do artigo 15.°, n.° 1, do RGPD e os direitos de proteção de dados de terceiros ser resolvida igualmente através da divulgação dos dados de terceiros necessários para a verificação da exatidão, terceiros esses que também foram sujeitos ao mesmo perfil, exclusivamente à autoridade ou ao tribunal, de modo que a autoridade ou o tribunal terá de verificar autonomamente se os dados divulgados respeitantes a essas terceiras pessoas correspondem aos factos?

c) Em caso de resposta afirmativa: que direitos devem ser concedidos à pessoa com direito de acesso ao abrigo do artigo 15.°, n.° 1, alínea h), do RGPD no caso de ser necessário assegurar a proteção dos direitos de terceiros ao abrigo do artigo 15.°, n.° 4, do RGPD, por meio da criação da caixa negra referida na alínea b) da terceira questão?

Nesse caso, devem os dados de outras pessoas a divulgar pelo responsável pelo tratamento, na aceção do artigo 15.°, n.° 1, do RGPD, ser divulgados sob forma pseudoanonimizada à pessoa com direito de acesso ao abrigo do artigo 15.°, n.° 1, alínea h), do RGPD, a fim de permitir verificar a exatidão da tomada de decisão?

4 a) Como se deve proceder no caso de a informação a fornecer nos termos do artigo 15.°, n.° 1, alínea h), do RGPD preencher igualmente os requisitos de um segredo comercial na aceção do artigo 2.°, n.° 1, da Diretiva [2016/943]?

Pode a contradição entre o direito de acesso garantido pelo artigo 15.°, n.° 1, alínea h), do RGPD e o direito à não divulgação de um segredo comercial protegido pela Diretiva [2016/943] ser solucionada mediante a divulgação das informações classificadas como segredo comercial na aceção do artigo 2.°, n.° 1, da Diretiva [2016/943] exclusivamente à autoridade ou ao tribunal, para que a autoridade ou o tribunal tenha de verificar autonomamente se se deve partir do princípio que há um segredo comercial na aceção do artigo 2.°, n.° 1, da Diretiva [2016/943] e se a informação fornecida pelo responsável pelo tratamento nos termos do artigo 15.°, n.° 1, do RGPD corresponde aos factos?

b) Em caso de resposta afirmativa: quais os direitos que devem ser concedidos à pessoa com direito de acesso ao abrigo do artigo 15.°, n.° 1, alínea h), do RGPD no caso de ser necessário assegurar a proteção dos direitos de terceiros ao abrigo do artigo 15.°, n.° 4, do [RGPD], criando a caixa negra referida na alínea a) da quarta questão?

[No] caso de discrepância entre a informação a divulgar à autoridade ou ao tribunal e a informação a divulgar à pessoa com direito de acesso ao abrigo do artigo 15.°, n.° 1, alínea h), do RGPD, em casos de definição de perfis, devem ser divulgadas à pessoa com direito de acesso ao abrigo do artigo 15.°, n.° 1, alínea h), do RGPD, a fim de lhe permitir assegurar plenamente a defesa dos seus direitos decorrentes do artigo 22.°, n.° 3, [do RGPD,] as seguintes informações relativas ao tratamento concreto que lhe diz respeito:

i) Transmissão de todas as informações, se necessário pseudoanonimizadas, que podem ser pseudoanonimizadas, em especial sobre a forma de tratamento dos dados do respetivo titular, que permitam a verificação do cumprimento do RGPD,

ii) Disponibilização dos dados de entrada utilizados para definir o perfil,

iii) Os parâmetros e variáveis de entrada utilizados na determinação da avaliação,

iv) A influência destes parâmetros e variáveis de entrada na avaliação calculada,

v) Informações sobre a origem dos parâmetros ou variáveis de entrada,

vi) Explicação do motivo pelo qual foi atribuída uma determinada classificação à pessoa com direito de acesso ao abrigo do artigo 15.°, n.° 1, alínea h), do RGPD e exposição de critérios associada a essa avaliação, [e]

vii) Enumeração das categorias de perfis e explicação sobre o critério de avaliação que está associado a cada uma das categorias de perfis?

5) A disposição do artigo 15.°, n.° 4, do RGPD restringe de algum modo o âmbito das informações a fornecer nos termos do artigo 15.°, n.° 1, alínea h), do RGPD?

Em caso de resposta afirmativa, de que modo é este direito de acesso restringido pelo artigo 15.°, n.° 4, do RGPD, e como deve ser determinado o alcance dessa restrição no caso em apreço?

6) A disposição do § 4, n.° 6, da Datenschutzgesetz (Lei de Proteção de Dados), segundo a qual “sem prejuízo de outras restrições legais, o direito de acesso do titular dos dados ao abrigo do artigo 15.° do RGPD perante o responsável pelo tratamento, por regra, não se mantém se o fornecimento de tal informação puser em risco um segredo comercial ou empresarial do responsável pelo tratamento ou de terceiros”, é compatível com o disposto no artigo 15.°, n.° 1, em conjugação com o artigo 22.°, n.° 3, do RGPD? Em caso de resposta afirmativa, em que condições se verifica essa compatibilidade?»

25. Foram apresentadas observações escritas por CK, pela D & B, pelos Governos Espanhol, Neerlandês e Polaco e pela Comissão Europeia.

III. Apreciação

A. Observações preliminares

26. Nos termos do artigo 22.°, n.° 1, do RGPD, «[o] titular dos dados tem o direito de não ficar sujeito a nenhuma decisão tomada exclusivamente com base no tratamento automatizado, incluindo a definição de perfis, que produza efeitos na sua esfera jurídica ou que o afete significativamente de forma similar» (8). Todavia, a proibição assim enunciada não se aplica nos casos enumerados no artigo 22.°, n.° 2, deste regulamento, aos quais voltarei nos desenvolvimentos que se seguem.

27. No seu Acórdão de 7 de dezembro de 2023, SCHUFA Holding e o. (Scoring) (9), o Tribunal de Justiça declarou que o artigo 22.°, n.° 1, do RGPD deve ser interpretado no sentido de que a determinação automatizada, por uma sociedade que fornece informações comerciais, de um valor de probabilidade baseado em dados pessoais relativos a uma pessoa sobre a capacidade desta para cumprir as suas obrigações de pagamento no futuro constitui uma «decisão individual automatizada», na aceção desta disposição, quando o facto de um terceiro, ao qual o referido valor de probabilidade é comunicado, estabelecer, executar ou cessar uma relação contratual com essa pessoa depende de maneira determinante desse valor de probabilidade (10).

28. Na sequência desse acórdão, o Tribunal de Justiça perguntou ao órgão jurisdicional de reenvio se pretendia manter o seu pedido de decisão prejudicial, ao que este respondeu afirmativamente. No essencial, o órgão jurisdicional de reenvio considerou que o acórdão não respondia às suas questões relativas, em especial, à forma de resolver a contradição entre o direito do titular dos dados à proteção dos seus dados pessoais e os interesses do responsável pelo tratamento em proteger os segredos comerciais. Além disso, o mesmo acórdão não respondia à questão relativa ao nível de pormenor exigido para as «informações úteis relativas à lógica subjacente» a uma decisão automatizada, na aceção do artigo 15.°, n.° 1, alínea h), do RGPD.

29. O presente processo permitirá, assim, ao Tribunal de Justiça completar o seu Acórdão SCHUFA Holding e o. (Scoring) (11), especificando o alcance do direito de acesso garantido por esta disposição.

30. Com efeito, o órgão jurisdicional de reenvio tem de determinar o alcance e o grau de pormenor da informação que a D & B deve fornecer para cumprir os requisitos da referida disposição.

31. Neste contexto, o referido órgão jurisdicional solicita a assistência do Tribunal de Justiça para as seguintes questões jurídicas.

32. Em primeiro lugar, o que deve entender‑se por «informações úteis relativas à lógica subjacente» a uma decisão automatizada, na aceção do artigo 15.°, n.° 1, alínea h), do RGPD? Tais informações incluem o algoritmo utilizado para efeitos da referida decisão? Em que medida e com que grau de concretização é possível exigir ao responsável pelo tratamento que comunique informações suficientes para permitir ao titular dos dados verificar a sua exatidão e a sua coerência com a decisão de notação em causa?

33. Em segundo lugar, em que medida a proteção dos direitos e liberdades de terceiros, em especial a proteção do segredo comercial, pode afetar a obrigação do responsável pelo tratamento de fornecer «informações úteis relativas à lógica subjacente» a uma decisão automatizada, na aceção do artigo 15.°, n.° 1, alínea h), do RGPD? Que mecanismos, caso aplicável, poderão permitir resolver o conflito entre os direitos do titular dos dados e os interesses do responsável pelo tratamento?

34. Nas conclusões que apresentou no processo que deu origem ao Acórdão SCHUFA Holding e o. (Scoring) (12), o advogado‑geral P. Pikamäe pronunciou‑se sobre os principais aspetos destas questões. Considerou, assim, que o artigo 15.°, n.° 1, alínea h), do RGPD, lido em conjugação com o considerando 63 do mesmo regulamento, deve ser interpretado no sentido de que «em princípio, abrange igualmente o método de cálculo utilizado por uma sociedade de informações comerciais para estabelecer um score, na condição de que não existam interesses em conflito dignos de proteção» (13).

35. Embora tivesse pretendido assegurar um justo equilíbrio entre os direitos e os interesses divergentes em causa, o legislador da União quis garantir que «um mínimo de informações [devesse], em todo o caso, ser fornecido para não comprometer o conteúdo essencial do direito à proteção dos dados pessoais» (14). Por conseguinte, segundo o advogado‑geral P. Pikamäe, «embora a proteção do segredo comercial ou da propriedade intelectual constitua, em princípio, para uma sociedade de informações comerciais, um motivo legítimo de recusa em revelar o algoritmo utilizado para calcular o score [do titular dos dados], não pode, em contrapartida, de modo nenhum justificar uma recusa absoluta de informação» (15).

36. Tendo em conta o artigo 12.°, n.° 1, do RGPD, nos termos do qual «[o] responsável pelo tratamento toma as medidas adequadas para fornecer ao titular as informações [nos termos do artigo 15.°] a respeito do tratamento, de forma concisa, transparente, inteligível e de fácil acesso, utilizando uma linguagem clara e simples» (16), e o considerando 58 do referido regulamento, o advogado‑geral P. Pikamäe considerou que «o objetivo real do artigo 15.°, n.° 1, alínea h), do RGPD consiste em garantir que o titular dos dados obtém informações de uma forma compreensível e acessível, em conformidade com as suas necessidades» (17). Em seu entender, «estas exigências excluem desde logo a eventual obrigação de divulgar o algoritmo, tendo em conta a complexidade do mesmo. Com efeito, a utilidade de comunicar uma fórmula particularmente complexa seria duvidosa sem fornecer para tal as explicações necessárias» (18).

37. Tendo em conta estes elementos, o advogado‑geral P. Pikamäe concluiu que «a obrigação de fornecer “informações úteis relativas à lógica subjacente” deve ser entendida no sentido de que comporta explicações suficientemente detalhadas sobre o método utilizado para o cálculo do score e as razões que conduziram a um determinado resultado. Em geral, o responsável pelo tratamento deveria fornecer à pessoa em questão informações globais, designadamente sobre os fatores tidos em conta no processo decisório e sobre a sua importância respetiva a nível agregado, que lhe sejam igualmente úteis para impugnar qualquer “decisão”, na aceção do artigo 22.°, n.° 1, do RGPD» (19).

38. Concordo, no essencial, com a interpretação proposta pelo advogado‑geral P. Pikamäe, como explicarei mais pormenorizadamente nos desenvolvimentos seguintes (20).

B. Quanto às questões prejudiciais

39. Com as suas questões, que proponho analisar de forma conjunta, o órgão jurisdicional de reenvio pergunta ao Tribunal de Justiça, em substância, se, por um lado, o artigo 15.°, n.° 1, alínea h), do RGPD deve ser interpretado no sentido de que «as informações úteis relativas à lógica subjacente» a uma decisão automatizada incluem informações suficientemente completas para permitir ao titular dos direitos verificar a exatidão dessas informações e a sua coerência com a decisão de notação em apreço, incluindo o algoritmo utilizado para efeitos dessa decisão automatizada. Por outro lado, este órgão jurisdicional pretende saber se e, sendo caso disso, em que medida a proteção dos direitos e liberdades de terceiros, como a proteção do segredo comercial invocado pelo responsável pelo tratamento, é suscetível de limitar o alcance do direito de acesso de que o titular dos dados dispõe ao abrigo desta disposição.

1. Quanto ao conceito de «informações úteis relativas à lógica subjacente» a uma decisão automatizada

40. Importa salientar, desde logo, que o Tribunal de Justiça enfatizou recentemente várias características do direito de acesso previsto no artigo 15.° do RGPD quando se pronunciou sobre o alcance do direito de obter uma cópia dos dados pessoais em fase de tratamento, direito previsto no n.° 3, primeiro período, do mesmo artigo. Estes elementos parecem‑me úteis para responder às questões submetidas pelo órgão jurisdicional de reenvio.

41. O artigo 15.°, n.° 1, do RGPD, intitulado «Direito de acesso do titular dos dados», define o objeto e o âmbito do direito de acesso concedido ao titular dos dados e consagra o direito de este último obter do responsável pelo tratamento o acesso aos seus dados pessoais e às informações referidas nas alíneas a) a h) do mesmo número.

42. A garantia de tal direito visa alcançar os objetivos prosseguidos pelo RGPD, que consistem, como indicam os seus considerandos 10 e 11, em assegurar um nível de proteção coerente e elevado das pessoas singulares na União Europeia e no reforço e na especificação dos direitos dos titulares dos dados (21).

43. Mais concretamente, o artigo 15.°, n.° 1, alínea h), do RGPD prevê que o titular dos dados tem o direito de ser informado pelo responsável pelo tratamento da existência de decisões automatizadas, incluindo a definição de perfis (22), referidas no artigo 22.°, n.os 1 e 4, e, pelo menos nesses casos, obter informações úteis relativas à lógica subjacente (23), bem como da importância e das consequências previstas de tal tratamento para o titular dos dados (24).

44. De um modo geral, decorre da jurisprudência do Tribunal de Justiça que o direito de acesso previsto no artigo 15.° do RGPD deve permitir ao titular dos dados verificar que os dados pessoais que lhe dizem respeito são exatos e que são tratados de forma lícita (25).

45. Por outro lado, a cópia dos dados pessoais objeto de tratamento, que o responsável pelo tratamento deve fornecer nos termos do artigo 15.°, n.° 3, primeiro período, do RGPD, deve apresentar todas as características que permitam ao titular dos dados exercer efetivamente os seus direitos ao abrigo deste regulamento e deve, por conseguinte, reproduzir integral e fielmente esses dados (26).

46. Em especial, esse direito de acesso é necessário para permitir ao titular dos dados exercer, se for caso disso, o seu direito à retificação, o seu direito ao apagamento dos dados («direito a ser esquecido») e o seu direito à limitação do tratamento, que lhe são reconhecidos, respetivamente, pelos artigos 16.°, 17.° e 18.° do RGDP, o seu direito de oposição ao tratamento dos seus dados pessoais, previsto no artigo 21.° do RGPD, assim como o seu direito de recurso quando sofra um dano, previsto nos artigos 79.° e 82.° do RGPD (27).

47. No que diz respeito ao direito do titular dos dados de obter as informações previstas no artigo 15.°, n.° 1, alínea h), acrescento que esse direito de acesso deve permitir‑lhe exercer os direitos que lhe são conferidos pelo artigo 22.° do RGPD, que se refere especificamente à situação em que o titular dos dados é objeto de uma decisão baseada num tratamento automatizado.

48. Assim, conforme já indiquei anteriormente, o artigo 22.°, n.° 1, deste regulamento prevê o direito de o titular dos dados não ser sujeito a uma decisão tomada exclusivamente com base num tratamento automatizado, incluindo a definição de perfis, que produza efeitos na sua esfera jurídica ou que o afete significativamente de forma similar (28). Todavia, a proibição assim enunciada não se aplica nos casos enumerados no artigo 22.°, n.° 2, do referido regulamento, nomeadamente quando a decisão for necessária para a celebração ou a execução de um contrato entre o titular dos dados e um responsável pelo tratamento [alínea a)], quando for autorizada pelo direito da União ou pelo direito do Estado‑Membro a que o responsável pelo tratamento estiver sujeito [alínea b)], ou quando for baseada no consentimento explícito do titular dos dados [alínea c)].

49. Além disso, o artigo 22.° do RGPD dispõe, no seu n.° 2, alínea b), e no seu n.° 3, que devem ser previstas medidas adequadas para salvaguardar os direitos e liberdades e os legítimos interesses do titular dos dados. Nos casos previstos no artigo 22.°, n.° 2, alíneas a) e c), deste regulamento, o responsável pelo tratamento aplica, pelo menos, o direito do titular dos dados de obter intervenção humana, manifestar o seu ponto de vista e contestar a decisão (29). No âmbito do presente processo, o órgão jurisdicional de reenvio salienta a ligação entre o direito de acesso previsto no artigo 15.°, n.° 1, alínea h), do referido regulamento e esses direitos do titular dos dados de manifestar o seu ponto de vista e de contestar a decisão automatizada.

50. Segundo o Tribunal de Justiça, os requisitos mais exigentes previstos pelo RGPD quanto à licitude de uma tomada de decisão automatizada, bem como as obrigações de informação adicionais do responsável pelo tratamento e os correspondentes direitos de acesso adicionais do titular dos dados explicam‑se pela finalidade que o artigo 22.° do RGPD prossegue, que consiste em proteger as pessoas contra os riscos específicos para os seus direitos e liberdades decorrentes do tratamento automatizado de dados pessoais, incluindo a definição de perfis (30).

51. Daqui se conclui que, para determinar o que é abrangido pelas «informações úteis relativas à lógica subjacente» a uma decisão automatizada, na aceção do artigo 15.°, n.° 1, alínea h), do RGPD, há que ter em conta a finalidade prosseguida pelo artigo 22.° deste regulamento, de modo que o titular dos dados possa, efetivamente, com base nessas informações, exercer os direitos que lhe são conferidos por este último artigo.

52. Nesta perspetiva, importa referir que, em conformidade com o princípio da transparência, ao qual o considerando 58 do RGPD faz referência e que está expressamente consagrado no artigo 12.°, n.° 1, deste regulamento, qualquer informação destinada ao titular dos dados deve ser concisa, de fácil acesso e compreensão, bem como formulada numa linguagem clara e simples (31).

53. Assim, o Tribunal de Justiça deduziu desta disposição que o responsável pelo tratamento é obrigado a tomar as medidas adequadas para fornecer ao titular as informações a que se refere, nomeadamente, o artigo 15.° do RGPD, de forma concisa, transparente, inteligível e de fácil acesso, utilizando uma linguagem clara e simples. O objetivo desta disposição, que é uma expressão do princípio da transparência, é assegurar que o titular dos dados tem plena compreensão das informações que lhe são transmitidas (32).

54. Resulta destes elementos, segundo o Tribunal de Justiça, que a cópia dos dados pessoais em fase de tratamento, que o responsável pelo tratamento deve fornecer nos termos do artigo 15.°, n.° 3, primeiro período, do RGPD, deve apresentar todas as características que permitam ao titular dos dados exercer efetivamente os seus direitos ao abrigo deste regulamento e deve, por conseguinte, reproduzir integral e fielmente esses dados (33).

55. O Tribunal de Justiça declarou igualmente que pode ser necessário contextualizar os dados pessoais tratados, para assegurar a sua inteligibilidade. É por isso que, para garantir que as informações assim fornecidas sejam de fácil compreensão, como exige o artigo 12.°, n.° 1, do RGPD, lido em conjugação com o considerando 58 deste regulamento, a reprodução de extratos de documentos ou mesmo de documentos completos ou ainda de extratos de bases de dados que contenham, nomeadamente, os dados pessoais em fase de tratamento pode revelar‑se indispensável (34).

56. Em especial, segundo o Tribunal de Justiça, quando os dados pessoais são gerados a partir de outros dados ou quando resultam de campos livres, a saber, uma falta de indicação que revele uma informação sobre o titular dos dados, o contexto em que esses dados são objeto de tratamento é um elemento indispensável para permitir ao titular dos dados dispor de um acesso transparente e de uma apresentação inteligível desses dados (35).

57. Por conseguinte, o direito de obter do responsável pelo tratamento uma cópia dos dados pessoais em fase de tratamento implica que seja entregue ao titular dos dados uma reprodução fiel e inteligível de todos esses dados. Este direito pressupõe o direito de obter a cópia de extratos de documentos ou mesmo de documentos completos que contenham, nomeadamente, os referidos dados, se o fornecimento dessa cópia for indispensável para permitir ao titular dos dados exercer efetivamente os direitos que lhe são conferidos por este regulamento (36).

58. A jurisprudência do Tribunal de Justiça relativa aos requisitos que o responsável pelo tratamento deve respeitar quando fornece, em aplicação do artigo 15.°, n.° 3, primeiro período, do RGPD, uma cópia dos dados pessoais objeto de tratamento oferece, na minha opinião, indícios preciosos para determinar as características que devem revestir as «informações úteis relativas à lógica subjacente» a uma decisão automatizada, na aceção do artigo 15.°, n.° 1, alínea h), deste regulamento.

59. É certo que decorre também dessa jurisprudência que os dados pessoais cuja cópia o responsável pelo tratamento deve fornecer por força do artigo 15.°, n.° 3, primeiro período, do referido regulamento não se confundem com as informações a que o titular dos dados tem direito de acesso por força do artigo 15.°, n.° 1, alíneas a) a h), do mesmo regulamento (37).

60. No entanto, a meu ver, não há dúvida de que a exigência de transparência das informações comunicadas, prevista no artigo 12.°, n.° 1, do RGPD e na qual se baseia a referida jurisprudência, se aplica, nos próprios termos desta disposição, ao conjunto desses dados e informações, incluindo os relativos à decisão automatizada.

61. Por conseguinte, deve ser fornecida ao titular dos direitos, no contexto de uma decisão automatizada como a que está em causa no processo principal, uma cópia dos seus dados pessoais que foram objeto de tratamento que reproduza esses dados de forma completa e fiel, conforme previsto no artigo 15.°, n.° 3, primeiro período, do RGPD.

62. Além disso, parece indispensável que o titular dos dados tenha conhecimento do contexto em que os seus dados pessoais são tratados automaticamente, para lhe permitir exercer os direitos que lhe são conferidos pelo RGPD, incluindo o direito de manifestar o seu ponto de vista sobre uma decisão automatizada e de a contestar.

63. É, aliás, o próprio objeto do artigo 15.°, n.° 1, alínea h), do RGPD, que impõe, em substância, que o titular dos dados seja informado do contexto em que foi tomada uma decisão automatizada e, em especial, da lógica subjacente a essa decisão.

64. O conhecimento pelo titular dos dados deste contexto deve permitir‑lhe compreender o resultado da decisão automatizada, através do conhecimento dos elementos essenciais do método e dos critérios utilizados. Em suma, o processo que conduziu a esta decisão, que é por natureza técnico, deve ser tornado inteligível. Só assim o titular dos dados poderá exercer os seus direitos ao abrigo do RGPD, incluindo o direito de manifestar o seu ponto de vista sobre uma decisão automatizada e de a contestar. O conceito de «informações úteis relativas à lógica subjacente» a uma decisão automatizada deve, por conseguinte, ser entendido de uma forma funcional (38).

65. A este respeito, a ênfase colocada pelo legislador da União na necessidade de informações úteis está diretamente relacionada com o caráter técnico do domínio em causa, que torna necessário assegurar que essas informações sejam compreensíveis e significativas para o titular dos dados. Trata‑se de uma condição necessária para assegurar a utilidade das referidas informações, com vista a permitir ao titular dos dados exercer efetivamente os direitos que lhe são garantidos pelo RGPD. Segundo as versões linguísticas do artigo 15.°, n.° 1, alínea h), do RGPD, a ênfase é colocada em diferentes graus no caráter «compreensível» ou «significativo» das informações, sendo esta dupla aceção expressa pelo termo «meaningful» na versão em língua inglesa (39). Por conseguinte, importa, a meu ver, adotar uma interpretação do conceito de «informações úteis» na aceção desta última disposição, que permita, no âmbito de uma abordagem funcional, ter em conta estes significados que são complementares.

66. A utilidade das informações para o titular dos dados pressupõe, por conseguinte — tal como no caso da cópia dos dados pessoais em fase de tratamento que deve ser fornecida nos termos do artigo 15.°, n.° 3, primeiro período, do RGPD —, que essas informações sejam concisas, de fácil acesso e compreensão, e formuladas numa linguagem clara e simples. O titular dos dados a quem estas informações são comunicadas deve, por conseguinte, poder compreender plenamente as informações que lhe são dirigidas. Nesta perspetiva, poderá ser necessário contextualizar as informações comunicadas, de modo que garanta a sua inteligibilidade.

67. Em suma, as «informações úteis», conforme exigidas pelo artigo 15.°, n.° 1, alínea h), do RGPD, não só devem ser claras e acessíveis, mas também devem ser acompanhadas de explicações que garantam a sua correta compreensão. Isto é aplicável sobretudo quando se trata de fornecer ao titular dos dados informações de ordem técnica. Neste sentido, esta disposição oferece ao titular dos direitos um verdadeiro direito à explicação sobre o funcionamento do mecanismo subjacente à decisão automatizada de que essa pessoa foi objeto e sobre o resultado a que essa decisão conduziu (40). Saliento, a este respeito, que, em conformidade com o que indica o considerando 71 do RGPD, o titular dos dados deve poder «obter uma explicação sobre a decisão tomada na sequência dessa avaliação».

68. A estes requisitos importa acrescentar que o titular dos dados deve poder verificar a exatidão dos dados pessoais que lhe dizem respeito e das informações relativas à lógica subjacente a uma decisão automatizada. Deve, por conseguinte, poder assegurar que existe uma coerência e um nexo de causalidade objetivamente verificáveis entre, por um lado, o método e os critérios utilizados e, por outro, o resultado da decisão automatizada. Por outras palavras, as informações comunicadas devem permitir ao titular dos dados verificar se estas correspondem aos factos e, por conseguinte, se a decisão automatizada em questão se baseia efetivamente em informações exatas (41).

69. A este respeito, recordo que, como decorre da decisão de reenvio, as informações fornecidas a CK pela D & B não parecem corresponder à realidade, uma vez que não revelam a definição de perfil real realizada a seu respeito. O Tribunal de Justiça já salientou que, tendo em conta os riscos específicos para os seus direitos e liberdades decorrentes do tratamento automatizado de dados pessoais, incluindo a definição de perfis, importa, segundo o considerando 71 do RGPD, prever garantias adequadas e assegurar um tratamento equitativo e transparente no que diz respeito ao titular dos dados, nomeadamente através da utilização de procedimentos matemáticos ou estatísticos adequados à definição de perfis e da aplicação de medidas técnicas e organizativas que garantam que o risco de erros é minimizado (42).

70. Esta exigência de exatidão é, a meu ver, reforçada se se considerar, como o Tribunal de Justiça declarou no seu Acórdão de 7 de dezembro de 2023, SCHUFA Holding (Remissão da dívida remanescente) (43), a propósito do tratamento de dados pessoais relativos à concessão de uma remissão da dívida remanescente, que um tratamento automatizado como o que está em causa no processo principal constitui uma ingerência grave nos direitos fundamentais do titular dos dados, consagrados nos artigos 7.° e 8.° da Carta. Com efeito, os dados pessoais do titular dos dados são tratados com vista a avaliar a sua solvabilidade e constituem, portanto, informações sensíveis sobre a sua vida privada. O seu tratamento é suscetível de prejudicar consideravelmente os interesses do titular dos dados, impedindo‑o de estabelecer relações contratuais suscetíveis de satisfazer necessidades básicas (44).

71. Por conseguinte, considero que as «informações úteis relativas à lógica subjacente» a uma decisão automatizada devem permitir ao titular dos dados exercer os direitos que lhe são garantidos pelo RGPD, em especial, pelo artigo 22.° deste regulamento. Tal pressupõe, em primeiro lugar, que o titular dos dados possa obter informações concisas, de fácil acesso e compreensão, e formuladas numa linguagem clara e simples sobre o método e os critérios utilizados com vista a essa decisão. Em segundo lugar, estas informações devem ser suficientemente completas e contextualizadas para que a referida pessoa possa verificar a sua exatidão e a existência de uma coerência e de um nexo de causalidade objetivamente verificáveis entre, por um lado, o método e os critérios utilizados e, por outro, o resultado obtido pela decisão automatizada.

72. Tendo em conta estes elementos, não creio que o artigo 15.°, n.° 1, alínea h), do RGPD deva ser interpretado no sentido de que impõe ao responsável pelo tratamento a obrigação de comunicar ao titular dos direitos informações que, devido à sua natureza técnica, são tão complexas que não podem ser compreendidas por pessoas que não possuam conhecimentos técnicos específicos (45). É o que acontece, em minha opinião, com os algoritmos utilizados nas decisões automatizadas.

73. É certo que se poderia alegar, em nome de uma interpretação extensiva da obrigação de transparência, que o controlo da forma como os dados pessoais são tratados por um algoritmo exige que o algoritmo seja revelado ao titular dos direitos (46). No entanto, sou de opinião que a razão de ser desta obrigação é permitir que o titular dos dados compreenda as informações que lhe são comunicadas para que possa exercer os direitos que lhe são conferidos pelo RGPD. Nesta perspetiva, as explicações acessíveis sem necessidade de conhecimentos técnicos específicos serão certamente mais «úteis» do que uma fórmula matemática complexa.

74. Na mesma ordem de ideias, constato que, como indicado nas Orientações, «[poderá tornar‑se] difícil perceber o funcionamento do processo de decisão automatizada ou da definição de perfis». Por conseguinte, «[o] responsável pelo tratamento deverá encontrar formas simples de comunicar ao titular dos dados a lógica subjacente, ou os critérios aplicados para tomar a decisão. O RGPD obriga o responsável pelo tratamento a fornecer informações úteis relativas à lógica subjacente, e não necessariamente uma explicação complexa sobre os algoritmos utilizados ou a divulgação do algoritmo na íntegra [...]. As informações prestadas devem, no entanto, ser suficientemente completas para permitir ao titular dos dados compreender os motivos da decisão» (47). Assim, «[o] responsável pelo tratamento deve facultar ao titular dos dados informações genéricas (nomeadamente, sobre os fatores tidos em conta no processo decisório e a “relevância” dos mesmos em termos globais) que também lhe sejam úteis para contestar a decisão» (48).

75. No entanto, como observou o Grupo de Trabalho do Artigo 29.° para a Proteção de Dados, nas suas Orientações, «[a] complexidade não serve de justificação para que não sejam fornecidas as informações ao titular dos dados» (49). Daqui se conclui que o responsável pelo tratamento não pode invocar o caráter complexo de informações para se recusar a cumprir a obrigação que lhe incumbe por força do artigo 15.°, n.° 1, alínea h), do RGPD. Compete‑lhe assegurar o fornecimento de informações que sejam simultaneamente acessíveis e completas para que o titular dos dados possa compreender o processo que conduziu à decisão automatizada de que foi objeto.

76. Depreendo destes elementos que o responsável pelo tratamento não está obrigado, por força do artigo 15.°, n.° 1, alínea h), do RGPD, a comunicar ao titular dos dados informações de natureza técnica que este não poderá compreender, como pormenores dos algoritmos utilizados (50). Em contrapartida, o responsável pelo tratamento deve cumprir a sua obrigação que consiste, em cada caso, em fornecer ao titular dos dados informações simultaneamente acessíveis e suficientemente completas sobre o processo que conduziu à decisão automatizada em causa, e sobre as razões que explicam o resultado da decisão. Assim definidas, as «informações úteis relativas à lógica subjacente» a uma decisão automatizada devem, nomeadamente, descrever o método utilizado e os critérios tidos em conta, bem como a sua ponderação (51). Por conseguinte, o titular dos direitos deve poder compreender quais foram as informações utilizadas na decisão automatizada e como estas foram tidas em conta e ponderadas.

77. Importa igualmente sublinhar que esta disposição não impede, na minha opinião, que o responsável pelo tratamento decida, de forma voluntária, fornecer ao titular dos dados informações de caráter técnico, tais como pormenores sobre os algoritmos utilizados, desde que essa comunicação seja acompanhada de informações que lhe permitam compreender o processo que conduziu à decisão automatizada e o resultado dessa decisão.

78. Acrescento que o artigo 15.°, n.° 1, alínea h), do RGPD não deve, a meu ver, ser interpretado no sentido de que exige que o responsável pelo tratamento forneça ao titular dos dados pessoais relativos a terceiros, sob pena de lesar de forma indireta os direitos desses terceiros. Em contrapartida, exemplos de tratamentos semelhantes fornecidos de forma anonimizada, a título de comparação, podem permitir a essa pessoa compreender melhor a decisão automatizada de que foi objeto.

79. Compete ao órgão jurisdicional de reenvio, com base nas indicações precedentes, determinar as informações que devem ser colocadas à disposição do titular dos dados no processo principal. A este respeito, duvido que o Tribunal de Justiça, na sua função de intérprete do direito da União que lhe é atribuída pelo artigo 267.° TFUE, que deve ser distinguida da função de aplicação desse direito, que incumbe ao órgão jurisdicional nacional, possa ir tão longe na especificação destas informações como este órgão jurisdicional gostaria.

80. Por outro lado, observo que a interpretação do conceito de «informações úteis relativas à lógica subjacente» a uma decisão automatizada, na aceção do artigo 15.°, n.° 1, alínea h), do RGPD, que sugiro ao Tribunal de Justiça, permite considerar que o legislador da União já assegurou, em grande medida, o equilíbrio entre, por um lado, a exigência de transparência em que se baseia esta disposição e, por outro, a salvaguarda dos direitos e liberdades de terceiros, entre os quais figura a proteção do segredo comercial. Com efeito, na medida em que, a meu ver, este conceito não deve ser alargado a informações de natureza técnica, como um algoritmo, que o titular dos dados não está em condições de compreender se não dispuser de conhecimentos especializados, o direito de acesso garantido pela referida disposição não deve conduzir, na maior parte dos casos, à violação do segredo comercial que o responsável pelo tratamento pode legitimamente invocar. O mesmo se aplica à proteção dos dados pessoais de terceiros, na medida em que o referido conceito não deve, em princípio, abranger esses dados.

81. Dito isto, não se pode excluir que, em certos casos, o direito de acesso garantido pelo artigo 15.°, n.° 1, alínea h), do RGPD possa conduzir a uma violação dos direitos e liberdades de outrem. Tal violação pode ser invocada pelo responsável pelo tratamento para justificar a recusa de comunicação das informações ao titular dos dados. Por outro lado, é possível que as informações comunicadas sejam insuficientes para permitir a verificar a sua exatidão e coerência com o resultado da decisão automatizada em causa e que a transmissão de informações complementares para efeitos dessa verificação possa prejudicar os direitos e liberdades de terceiros. Importa, assim, determinar, como pede o órgão jurisdicional de reenvio, quais são os mecanismos que permitem conciliar os direitos e interesses em causa.

2. Quanto ao equilíbrio entre os direitos do titular dos dados e os direitos e liberdades de terceiros

82. Recordo que o órgão jurisdicional de reenvio pretende saber, em substância, se e, sendo caso disso, em que medida a proteção dos direitos e liberdades de terceiros, como a proteção do segredo comercial invocada pelo responsável pelo tratamento, é suscetível de limitar o alcance do direito de acesso de que o titular dos dados dispõe ao abrigo do artigo 15.°, n.° 1, alínea h), do RGPD.

83. A este respeito, importa referir desde já que, nos termos do considerando 4 deste regulamento, o direito à proteção de dados pessoais não é absoluto e deve ser equilibrado com outros direitos fundamentais, em conformidade com o princípio da proporcionalidade. Assim, o RGPD respeita todos os direitos fundamentais e observa as liberdades e os princípios reconhecidos pela Carta, consagrados pelos Tratados (52).

84. Além disso, o considerando 63 deste regulamento refere que o direito de qualquer titular de dados de aceder aos dados pessoais recolhidos que lhes digam respeito «não deverá prejudicar os direitos ou as liberdades de terceiros, incluindo o segredo comercial ou a propriedade intelectual e, particularmente, o direito de autor que protege o software. Todavia, essas considerações não deverão resultar na recusa de prestação de todas as informações ao titular dos dados».

85. Assim, o artigo 15.°, n.° 4, do RGPD prevê que «[o] direito de obter uma cópia [dos dados pessoais objeto de tratamento] não prejudica os direitos e liberdades de terceiros».

86. Do mesmo modo, o artigo 23.°, n.° 1, alínea i), do RGPD recorda que a limitação do alcance das obrigações e dos direitos previstos nomeadamente no artigo 15.° do RGPD é possível «desde que tal limitação respeite a essência dos direitos e liberdades fundamentais e constitua uma medida necessária e proporcionada numa sociedade democrática para assegurar [...] [a] defesa [...] dos direitos e liberdades de outrem» (53).

87. O Tribunal de Justiça deduziu destas disposições que o direito reconhecido ao titular dos dados de obter uma primeira cópia a título gratuito dos seus dados pessoais em fase de tratamento não é absoluto (54). Em especial, em conformidade com o artigo 15.°, n.° 4, do RGPD, lido em conjugação com o considerando 63 deste regulamento, o direito de obter uma cópia a que se refere o n.° 3 deste artigo não deve prejudicar os direitos e as liberdades de terceiros, incluindo o segredo comercial ou a propriedade intelectual, nomeadamente o direito de autor que protege o software (55).

88. Resulta destes elementos que considerações relativas, nomeadamente, à defesa dos direitos e liberdades de outrem são suscetíveis de justificar uma limitação do direito de acesso previsto no artigo 15.°, n.° 1, alínea h), do RGDP, desde que tal limitação respeite a sua essência e constitua uma medida necessária e proporcionada para assegurar essa defesa, como prevê o artigo 23.°, n.° 1, alínea i), do RGPD (56).

89. Ora, considerações relativas à defesa do segredo comercial, na aceção do artigo 2.°, ponto 1, da Diretiva 2016/943 (57), podem ser suscetíveis de justificar uma limitação do direito de acesso previsto no artigo 15.°, n.° 1, alínea h), do RGPD.

90. É certo que o considerando 35 da Diretiva 2016/943 estabelece que esta «não deverá afetar os direitos nem as obrigações estabelecidas na Diretiva 95/46/CE [do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (58)], em especial, os direitos do titular a aceder aos respetivos dados pessoais sujeitos a tratamento e a obter a retificação, o apagamento ou o bloqueio dos dados caso estes sejam incompletos ou incorretos». Não obstante, as disposições do RGPD que referi supra parecem militar, em caso de conflito entre, por um lado, o exercício do direito de acesso previsto no artigo 15.°, n.° 1, alínea h), deste regulamento e, por outro, os direitos ou liberdades de terceiros, a favor da possibilidade de se encontrar um equilíbrio entre os direitos e liberdades em questão (59).

91. Assim, como o Tribunal de Justiça já declarou, sempre que possível, é necessário optar por formas de comunicação de dados pessoais que não violem os direitos ou as liberdades de terceiros, tendo em conta que, como referido no considerando 63 do RGPD, tais considerações, no entanto, não devem «resultar na recusa de prestação de todas as informações ao titular dos dados» (60).

92. O órgão jurisdicional de reenvio pretende, em substância, saber quais poderiam ser as formas de comunicação respeitadoras dos direitos e liberdades de terceiros no contexto específico do artigo 15.°, n.° 1, alínea h), do RGPD.

93. A este respeito, saliento que o Tribunal de Justiça já declarou que um órgão jurisdicional nacional pode considerar que os dados pessoais das partes ou de terceiros lhe devem ser comunicados a fim de poder ponderar, com todo o conhecimento de causa e no cumprimento do princípio da proporcionalidade, os interesses envolvidos. Esta apreciação pode, se for caso disso, levá‑lo a autorizar a divulgação completa ou parcial à parte contrária dos dados pessoais que lhe foram comunicados, se considerar que essa divulgação não vai além do necessário para garantir o gozo efetivo dos direitos que os particulares retiram do artigo 47.° da Carta (61).

94. Esta jurisprudência pode, a meu ver, ser aplicada às informações referidas no artigo 15.°, n.° 1, alínea h), do RGPD. Tendo em conta a referida jurisprudência, considero que esta disposição, lida em conjugação com o considerando 63 e o artigo 23.°, n.° 1, alínea i), deste regulamento, deve ser interpretada no sentido de que, quando as informações que devem ser fornecidas ao titular dos dados ao abrigo do direito de acesso garantido pela primeira destas disposições são suscetíveis de lesar os direitos e as liberdades de terceiros, nomeadamente por conterem dados pessoais de terceiros protegidos pelo RGPD ou um segredo comercial, na aceção do artigo 2.°, n.° 1, ponto 1, da Diretiva 2016/943, essas informações devem ser comunicadas à autoridade de controlo ou ao tribunal competente para que estes possam ponderar, com todo o conhecimento de causa e no respeito do princípio da proporcionalidade e da confidencialidade das referidas informações, os interesses envolvidos e determinar o alcance do direito de acesso a conferir ao titular dos direitos.

95. De acordo com as informações fornecidas pelo órgão jurisdicional de reenvio no seu pedido de decisão prejudicial, o § 4, n.° 6, da DSG exclui, em princípio, o direito de acesso do titular dos dados, previsto no artigo 15.° do RGPD, quando esse acesso comprometa um segredo comercial ou empresarial do responsável pelo tratamento ou de um terceiro. A este respeito, considero que tal disposição não pode substituir a ponderação que deve ser efetuada caso a caso pela autoridade ou pelo tribunal competentes. Com efeito, parece‑me resultar da jurisprudência do Tribunal de Justiça que, quando deve ser efetuada uma ponderação de direitos e interesses opostos, os Estados‑Membros não podem prescrever de forma definitiva o resultado dessa ponderação (62), sem permitir um resultado diferente em razão das circunstâncias concretas do caso específico (63).

IV. Conclusão

96. Tendo em conta o conjunto das considerações que precedem, proponho ao Tribunal de Justiça que responda às questões prejudiciais submetidas pelo Verwaltungsgericht Wien (Tribunal Administrativo de Viena, Áustria) do seguinte modo:

O artigo 15.°, n.° 1, alínea h), do Regulamento (UE) n.° 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados), lido em conjugação com o considerando 63 e o artigo 23.°, n.° 1, alínea i), deste regulamento,

deve ser interpretado no sentido de que:

– quando o titular dos dados é objeto de uma decisão automatizada, incluindo a definição de perfis, referida no artigo 22.° do Regulamento 2016/679, as «informações úteis relativas à lógica subjacente» a essa decisão automatizada, às quais esse titular dos dados tem direito de acesso, dizem respeito ao método e aos critérios utilizados pelo responsável pelo tratamento para esse efeito;

– estas informações devem permitir ao titular dos direitos exercer os direitos que lhe são garantidos pelo Regulamento 2016/679 e, em especial, por este artigo 22.° Por conseguinte, devem ser concisas, de fácil acesso e compreensão e formuladas numa linguagem clara e simples. Além disso, devem ser suficientemente completas e contextualizadas para permitir ao titular dos dados verificar a sua exatidão e se existe uma coerência e um nexo de causalidade objetivamente verificáveis entre, por um lado, o método e os critérios utilizados e, por outro, o resultado obtido pela decisão automatizada em causa;

– em contrapartida, o responsável pelo tratamento não está obrigado a divulgar ao titular dos dados informações que, devido ao seu caráter técnico, apresentam um grau de complexidade que não podem ser compreendidas por pessoas que não dispõem de conhecimentos técnicos específicos, o que é suscetível de excluir a comunicação dos algoritmos utilizados no âmbito de uma decisão automatizada;

– quando as informações que devem ser fornecidas ao titular dos dados ao abrigo do direito de acesso garantido pelo artigo 15.°, n.° 1, alínea h), do Regulamento 2016/679 são suscetíveis de lesar os direitos e as liberdades de terceiros, nomeadamente por conterem dados pessoais de terceiros protegidos por este regulamento ou um segredo comercial, na aceção do artigo 2.°, ponto 1, da Diretiva (UE) 2016/943 do Parlamento Europeu e do Conselho, de 8 de junho de 2016, da Diretiva (UE) 2016/943 do Parlamento Europeu e do Conselho, de 8 de junho de 2016, relativa à proteção de know‑how e de informações comerciais confidenciais (segredos comerciais) contra a sua aquisição, utilização e divulgação ilegais, essas informações devem ser comunicadas à autoridade de controlo ou ao tribunal competentes para que estes possam ponderar, com todo o conhecimento de causa e no respeito do princípio da proporcionalidade e da confidencialidade das referidas informações, os interesses envolvidos e determinar o alcance do direito de acesso a conferir ao titular dos direitos.

1 Língua original: francês.

2 JO 2016, L 119, p. 1, retificação no JO 2018, L 127, p. 2.

3 JO 2016, L 157, p. 1.

4 O órgão jurisdicional de reenvio salienta, a este respeito, que o Bundesverwaltungsgericht (Tribunal Administrativo Federal) não precisou, na sua decisão, o âmbito dos dados pessoais tratados a fornecer nem o grau de pormenor da lógica subjacente a comunicar.

5 A seguir «Carta».

6 BGBl. I, 165/1999.

7 BGBl. I, 14/2019. Esta disposição exclui, em princípio, o direito de acesso do titular dos dados, previsto no artigo 15.° do RGPD, quando tal acesso comprometa um segredo comercial ou empresarial do responsável pelo tratamento ou de um terceiro.

8 V., a este respeito, considerando 71 do RGPD, que prevê que «[o] titular dos dados deverá ter o direito de não ficar sujeito a uma decisão, que poderá incluir uma medida, que avalie aspetos pessoais que lhe digam respeito, que se baseie exclusivamente no tratamento automatizado e que produza efeitos jurídicos que lhe digam respeito ou o afetem significativamente de modo similar, como a recusa automática de um pedido de crédito por via eletrónica ou práticas de recrutamento eletrónico sem qualquer intervenção humana. Esse tratamento inclui a definição de perfis [...], quando produza efeitos jurídicos que lhe digam respeito ou a afetem significativamente de forma similar».

9 C‑634/21, a seguir «Acórdão SCHUFA Holding e o. (Scoring)», EU:C:2023:957.

10 V. Acórdão SCHUFA Holding e o. (Scoring) (n.° 73).

11 No dia em que o Tribunal de Justiça proferiu este acórdão, proferiu igualmente o Acórdão de 7 de dezembro de 2023, SCHUFA Holding (Remissão da dívida remanescente) (C‑26/22 e C‑64/22, EU:C:2023:958), no qual interpretou os seguintes artigos do RGPD: o artigo 5.°, n.° 1, alínea a), lido em conjugação com o artigo 6.°, n.° 1, primeiro parágrafo, alínea f); o artigo 17.°, n.° 1, alíneas c) e d); e o artigo 78.°, n.° 1.

12 C‑634/21, EU:C:2023:220.

13 V. Conclusões do advogado‑geral P. Pikamäe no processo SCHUFA Holding e o. (Scoring) (C‑634/21, EU:C:2023:220, n.° 54).

14 V. Conclusões do advogado‑geral P. Pikamäe no processo SCHUFA Holding e o. (Scoring) (C‑634/21, EU:C:2023:220, n.° 56).

15 V. Conclusões do advogado‑geral P. Pikamäe no processo SCHUFA Holding e o. (Scoring) (C‑634/21, EU:C:2023:220, n.° 56).

16 O sublinhado é meu.

17 V. Conclusões do advogado‑geral P. Pikamäe no processo SCHUFA Holding e o. (Scoring) (C‑634/21, EU:C:2023:220, n.° 57).

18 V. Conclusões do advogado‑geral P. Pikamäe no processo SCHUFA Holding e o. (Scoring) (C‑634/21, EU:C:2023:220, n.° 57).

19 V. Conclusões do advogado‑geral P. Pikamäe no processo SCHUFA Holding e o. (Scoring) (C‑634/21, EU:C:2023:220, n.° 58). A este respeito, o advogado‑geral P. Pikamäe baseou‑se nas «Orientações sobre as decisões individuais automatizadas e a definição de perfis para efeitos do Regulamento (UE) 2016/679», adotadas em 3 de outubro de 2017 pelo Grupo de Trabalho do Artigo 29.° para a Proteção de Dados, com a última versão revista e adotada em 6 de fevereiro de 2018 (a seguir «Orientações»), pp. 28 e 30.

20 Refira‑se também que o conceito de «informações úteis relativas à lógica subjacente» a uma decisão automatizada, na aceção do artigo 15.°, n.° 1, alínea h), do RGPD, deu lugar a numerosas publicações que, pela diversidade de posições adotadas, permitem enriquecer a reflexão sobre o significado que deve ser dado a este conceito. Destas publicações, refiro as seguintes: Goodman, B., e Flaxman, S., «European Union Regulations on Algorithmic Decision Making and a “Right to Explanation”», AI Magazine, vol. 38, n.° 3, Wiley, Berlim, 2017, pp. 50 a 57; Wachter, S., Mittelstadt, B., e Floridi, L., «Why a Right to Explanation of Automated Decision‑Making Does Not Exist in the General Data Protection Regulation», International Data Privacy Law, vol. 7, n.° 2, Oxford University Press, Oxford, 2017, pp. 76 a 99; Selbst, A. D., e Powles, J., «Meaningful information and the right to explanation», International Data Privacy Law, vol. 7, n.° 4, Oxford University Press, Oxford, 2017, pp. 233 a 242; Cabral, T. S., «AI and the Right to Explanation: Three Legal Bases under the GDPR», in Hallinan, D., Leenes, R., e De Hert, P., Data Protection and Privacy: Data Protection and Artificial Intelligence, Hart Publishing, Oxford, 2021, pp. 29 a 56; Edwards, L., e Veale, M., «Slave to the Algorithm ? Why a “Right to an Explanation” Is Probably Not the Remedy You Are Looking For», Duke Law & Technology Review, vol. 16, Duke Law School, Durham, 2017, pp. 18 a 84; Brkan, M., «Do algorithms rule the worlds? Algorithmic decision‑making and data protection in the framework of the GDPR and beyond», International Journal of Law and Information Technology, vol. 27, n.° 2, Oxford University Press, Oxford, 2019, pp. 91 a 121; Kaminski, M. E., e Malgieri, G., «Algorithmic impact assessments under the GDPR: producing multi‑layered explanations», International Data Privacy Law, vol. 11, n.° 2, Oxford University Press, Oxford, 2021, pp. 125 a 144; Custers, B., e Heijne, A.‑S., «The right of access in automated decision‑making: The scope of article 15(1)(h) GDPR in theory and practice», Computer Law & Security Review, vol. 46, Elsevier, Amesterdão, 2022; Naudts, L., Dewitte, P., e Ausloos, J., «Meaningful transparency through data rights: A multidimensional analysis», Research Handbook on EU Data Protection Law, Elgar, Cheltenham, 2022, pp. 530 a 571.

21 V., nomeadamente, Acórdão de 26 de outubro de 2023, FT (Cópias do registo clínico) [C‑307/22, a seguir «Acórdão FT (Cópias do registo clínico)», EU:C:2023:811, n.os 47 e 48 e jurisprudência aí referida].

22 Nos termos do artigo 4.°, n.° 4, do RGPD, entende‑se por «definição de perfis», «qualquer forma de tratamento automatizado de dados pessoais que consista em utilizar esses dados pessoais para avaliar certos aspetos pessoais de uma pessoa singular, nomeadamente para analisar ou prever aspetos relacionados com o seu desempenho profissional, a sua situação económica, saúde, preferências pessoais, interesses, fiabilidade, comportamento, localização ou deslocações».

23 Este conceito surge também no artigo 13.°, n.° 2, alínea f), e no artigo 14.°, n.° 2, alínea g), do RGPD. V., igualmente, considerando 63 do referido regulamento, segundo o qual «cada titular de dados deverá ter o direito de conhecer e ser informado [...] da lógica subjacente ao eventual tratamento automático dos dados pessoais e, pelo menos quando tiver por base a definição de perfis, das suas consequências».

24 Embora o presente pedido de decisão prejudicial se refira mais especificamente ao conceito de «informações úteis relativas à lógica subjacente» na aceção do artigo 15.°, n.° 1, alínea h), do RGPD, não deve ser subestimado o facto de o titular dos dados também dever ser informado da importância e das consequências previstas do tratamento em causa. De acordo com o Grupo de Trabalho do Artigo 29.° para a Proteção de Dados, «Este[s] termo[s] sugere[m] que tenham de ser fornecidas informações sobre os tratamentos previstos ou futuros e sobre a forma como as decisões automatizadas podem afetar o titular dos dados [...] A fim de tornar essas informações úteis e compreensíveis, devem ser dados exemplos reais e tangíveis dos tipos de efeitos possíveis»: v. Orientações (p. 29).

25 V., nomeadamente, Acórdão de 4 de maio de 2023, Österreichische Datenschutzbehörde e CRIF (C‑487/21, a seguir «Acórdão Österreichische Datenschutzbehörde e CRIF», EU:C:2023:369, n.° 34 e jurisprudência aí referida), bem como Acórdão FT (Cópias do registo clínico) (n.° 73 e jurisprudência aí referida).

26 V., nomeadamente, Acórdão FT (Cópias do registo clínico) (n.° 73 e jurisprudência aí referida).

27 V., nomeadamente, Acórdão Österreichische Datenschutzbehörde e CRIF (n.° 35 e jurisprudência aí referida).

28 Conforme especificado pelo Tribunal de Justiça no seu Acórdão SCHUFA Holding e o. (Scoring) (n.° 52), esta disposição estabelece uma proibição de princípio cuja violação não necessita de ser invocada individualmente por essa pessoa.

29 V. Acórdão SCHUFA Holding e o. (Scoring) (n.° 54).

30 V. Acórdão SCHUFA Holding e o. (Scoring) (n.° 57). Com efeito, segundo o Tribunal de Justiça, esse tratamento implica, como resulta do considerando 71 do RGPD, a avaliação de aspetos pessoais relativos à pessoa singular afetada por esse tratamento, especialmente a análise e previsão de aspetos relacionados com o desempenho profissional, a situação económica, saúde, preferências ou interesses pessoais, fiabilidade ou comportamento, localização ou deslocações dessa pessoa (n.° 58). Estes riscos específicos são, segundo este considerando, suscetíveis de lesar os legítimos interesses e os direitos do titular dos dados, nomeadamente tendo em conta os potenciais efeitos discriminatórios contra pessoas singulares (n.° 59).

31 V. Acórdão Österreichische Datenschutzbehörde e CRIF (n.° 37).

32 V. Acórdão Österreichische Datenschutzbehörde e CRIF (n.° 38).

33 V. Acórdãos Österreichische Datenschutzbehörde e CRIF (n.° 39), e FT (Cópias do registo clínico) (n.° 73).

34 V. Acórdãos Österreichische Datenschutzbehörde e CRIF (n.° 41), e FT (Cópias do registo clínico) (n.° 74).

35 V. Acórdão Österreichische Datenschutzbehörde e CRIF (n.° 42).

36 V. Acórdãos Österreichische Datenschutzbehörde e CRIF (n.° 45), e FT (Cópias do registo clínico) (n.° 75).

37 V., sobre a interpretação do Tribunal de Justiça do conceito de «informação» na aceção do artigo 15.°, n.° 3, terceiro período, do RGPD, Acórdão Österreichische Datenschutzbehörde e CRIF (n.os 46 a 53).

38 V. Selbst, A. D., e Powles, J., op. cit., p. 236.

39 V., a este respeito, Malgieri, G., e Comandé, G., «Why a Right to Legibility of Automated Decision‑Making Exists in the General Data Protection Regulation», International Data Privacy Law, Oxford University Press, Oxford, 2017, vol. 7, n.° 4, pp. 243 a 265, em especial p. 257.

40 V., nomeadamente, Cabral, T. S., op. cit.. V., também, sobre o debate relativo à existência ou não do direito a uma explicação, Brkan, M., op. cit., pp. 110 e seguintes.

41 V. Foss‑Solbrekk, K., e Glenster, A. K., «The intersection of data protection rights and trade secrets privileges in “algorithmic transparency”», in Research Handbook on EU Data Protection Law, op. cit., pp. 163 a 183. Os autores apontam, entre as preocupações suscitadas pela utilização de algoritmos, «a possibilidade de os algoritmos [...] se basearem em dados inexatos, originando assim resultados que não refletem a situação do titular dos dados» (p. 166) (tradução livre).

42 V. Acórdão SCHUFA Holding e o. (Scoring) (n.° 59).

43 C‑26/22 e C‑64/22, EU:C:2023:958.

44 V. Acórdão de 7 de dezembro de 2023, SCHUFA Holding (Libertação da dívida pendente) (C‑26/22 e C‑64/22, EU:C:2023:958, n.° 94 e jurisprudência aí referida).

45 V. Selbst, A. D., e Powles, J., op. cit., p. 236.

46 V., nomeadamente, sobre o debate intenso a que esta questão deu origem, Foss‑Solbrekk, K., e Glenster, A. K., op. cit., p. 167.

47 V. Orientações (p. 28). O sublinhado é meu.

48 V. Orientações (p. 30).

49 V. Orientações (p. 28). Como salienta este grupo de trabalho, decorre do considerando 58 do RGPD que «o princípio da transparência é “especialmente relevante em situações em que a proliferação de operadores e a complexidade tecnológica das práticas tornam difícil que o titular dos dados saiba e compreenda se, por quem e para que fins os seus dados pessoais estão a ser recolhidos, como no caso da publicidade por via eletrónica”».

50 V. Malgieri, G., e Comandé, G., op. cit., que observam que «[os] algoritmos são, muitas vezes, não só desconhecidos mas também ininteligíveis para os indivíduos» (tradução livre) (p. 243).

51 V. Poullet, Y., Le RGPD face aux défis de l’intelligence artificielle, Larcier, Bruxelas, 2021, que observa que o «conceito de “informações úteis” se refere aos tipos de dados anónimos ou não tratados, às suas fontes, ao modo de funcionamento do algoritmo e, sem dúvida e sem ter de dar pormenores, às ponderações atribuídas a cada tipo de dados no algoritmo de base» (p. 115) (tradução livre).

52 V., nomeadamente, Acórdão FT (Cópias do registo clínico) (n.° 59 e jurisprudência aí referida).

53 V. Acórdão FT (Cópias do registo clínico) (n.° 61).

54 V. Acórdão FT (Cópias do registo clínico) (n.° 62).

55 V. Acórdão Österreichische Datenschutzbehörde e CRIF (n.° 43).

56 V., por analogia, Acórdão FT (Cópias do registo médico) (n.° 63).

57 Nos termos da referida disposição, entende‑se por «segredo comercial» as informações que cumprem cumulativamente os requisitos seguintes: a) serem secretas, no sentido de, na sua globalidade ou na configuração e ligação exatas dos seus elementos constitutivos, não serem geralmente conhecidas pelas pessoas dos círculos que lidam normalmente com o tipo de informações em questão, ou não serem facilmente acessíveis a essas pessoas; b) terem valor comercial pelo facto de serem secretas; c) terem sido objeto de diligências razoáveis, atendendo às circunstâncias, para serem mantidas secretas pela pessoa que exerce legalmente o seu controlo».

58 JO 1995, L 281, p. 31.

59 V., neste sentido, a propósito do artigo 15.°, n.° 4, RGPD, que permite limitar o direito de obter uma cópia dos dados pessoais referidos no n.° 3 do mesmo artigo, Acórdão Österreichische Datenschutzbehörde e CRIF (n.° 44).

60 V. Acórdão Österreichische Datenschutzbehörde e CRIF (n.° 44).

61 V. Acórdão de 2 de março de 2023, Norra Stockholm Bygg (C‑268/21, EU:C:2023:145, n.° 58).

62 V., em especial, Acórdão SCHUFA Holding e o. (Scoring) (n.° 70 e jurisprudência aí referida).

63 V., em especial, Acórdão de 17 de junho de 2021, M.I.C.M. (C‑597/19, EU:C:2021:492, n.° 111 e jurisprudência aí referida).