Olay
Avusturya'da bir mobil telefon operatörü, aylık 10 avro ödeme gerektiren bir sözleşmeyi, müşterinin kredi değerliliğinin yetersiz olduğu gerekçesiyle kurmayı reddetti. Operatör, bu alanda hizmet veren Dun & Bradstreet Austria'nın otomatik yollarla yaptığı değerlendirmeye dayanmıştı. Bir Avusturya mahkemesi, şirketin ilgili kişiye otomatik karar almada kullanılan mantık hakkında anlamlı bilgi vermediğini ve böylece Genel Veri Koruma Tüzüğü'nü (GDPR) ihlal ettiğini kesinleşmiş kararla tespit etti. İlgili kişinin bu kararın icrası için yaptığı talebi, icra makamı olan Viyana Belediyesi (Magistrat der Stadt Wien) reddetti. Bu ret kararına karşı yapılan itirazı inceleyen Viyana İdare Mahkemesi, şirketin somut olarak ne yapması gerektiğini Avrupa Birliği Adalet Divanı'na (ABAD) sordu.
Hukuki soru
Dava, GDPR m.15/1-h'de düzenlenen ve profilleme dâhil otomatik karar almada “ilgili mantık hakkında anlamlı bilgi” edinmeyi kapsayan erişim hakkının içeriğine ilişkindi. Başvuran mahkeme, bu bilginin ne ölçüde ayrıntılı olması gerektiğini, veri sorumlusunun kendisine veya üçüncü kişilere ait ticari sırları (2016/943 sayılı Direktif) gerekçe göstererek bilgi vermekten kaçınıp kaçınamayacağını ve ticari sır söz konusu olduğunda erişimi kural olarak dışlayan Avusturya düzenlemesinin GDPR ile bağdaşıp bağdaşmadığını sordu.
Karar
ABAD, veri sorumlusunun fiilen uygulanan usulü ve ilkeleri, ilgili kişinin hangi kişisel verilerinin nasıl kullanıldığını anlayabileceği biçimde açıklaması gerektiğine karar verdi. Dikkate alınan verilerdeki bir değişikliğin sonucu ne ölçüde farklılaştıracağını belirtmek bu amaca uygun olabilir. Buna karşılık bir algoritmanın olduğu gibi iletilmesi yeterince özlü ve anlaşılır bir açıklama sayılmaz. Veri sorumlusu, bilginin ticari sır ya da üçüncü kişilere ait veri içerdiğini düşünüyorsa bunu yetkili denetim makamına veya mahkemeye sunmalı; menfaat dengesini bu merciler kurar. Ticari sır hâlinde erişimi kural olarak dışlayan ulusal düzenleme GDPR'a aykırıdır.
Neden önemli
Karar, “açıklama hakkı” tartışmasına somut bir içerik kazandırdı. Puanlama veya başka otomatik sistemler kullanan veri sorumluları, sonucu belirleyen etkenleri ilgili kişinin anlayabileceği ve karara itiraz ederken kullanabileceği biçimde açıklayabilmelidir. Gizlilik, genel bir savunma olarak ileri sürülemez. SCHUFA kararıyla birlikte okunduğunda karar, m.22'nin hangi durumda uygulanacağını ve bu durumda ilgili kişiye sağlanması gereken şeffaflık düzeyini netleştirir.