这个案子是对于商业秘密和数据主体关于自动化决策透明度之间的冲突。法院最终要求控制者必须依据GDPR披露关于自动化决策中有意义的信息，包括程序以及原则等信息。仅提供算法因不足以简洁明了和易于理解而不能构成提供了足够的有意义的信息。这个案子对于在欧盟利用个人信息开展自动化决策而进行画像和商业推荐的企业来说，是一个重要参考。
回顾一下GDPR对于自动化决策在信息提供义务上的要求：
GDPR第13条2.（f）以及第14条2.（g）：
“the existence of automated decision-making, including profiling, referred to in Article 22(1) and (4) and, at least in those cases, meaningful information about the logic involved, as well as the significance and the envisaged consequences of such processing for the data subject.”
GDPR第14条第5.(d)中解释了关于构成欧盟或成员国所规定的专业秘密的义务时的保密义务问题：
“where the personal data must remain confidential subject to an obligation of professional secrecy regulated by Union or Member State law, including a statutory obligation of secrecy.”
然后我们回到这个案件：Judgment of the Court in Case C-203/22 | Dun & Bradstreet Austria
案件事实与奥地利法院的裁判
在奥地利，一家移动电话运营商拒绝与一位客户签订合同，理由是她的信用状况不足。在这方面，运营商依赖于Dun & Bradstreet奥地利公司通过自动化方式对客户信用状况进行的评估，Dun & Bradstreet是一家专门提供此类评估的公司。该合同将涉及每月10欧元的付款。
在随后客户提出了诉讼，奥地利一家法院在最终的判决中认定，Dun & Bradstreet违反了《通用数据保护条例》（GDPR）。Dun & Bradstreet未能向客户提供有关自动决策中“所涉及逻辑的有意义信息”。至少，该公司未能充分说明其无法提供该等有意义的信息的原因。
案中，受理该案的奥地利法院想知道在实践中Dun & Bradstreet必须在这方面（自动化决策的透明度，考虑到商业秘密保护时）做些什么。因此，该法院将此问题提交至欧盟法院，寻求对GDPR和商业秘密保护指令的进一步解释和指导。
欧盟法院的观点
在这种问题咨询上来说，欧盟法院可以提供解释，但是不能直接直接对争议进行裁判。
根据欧盟法院的观点，控制者必须描述实际应用的程序和原则，以便数据主体能够了解他或她的哪些个人数据在自动化决策中被使用，以及如何被使用。为了满足透明度和易于理解的要求，特别适合去告知数据主体所考虑的个人数据的变化在多大程度上会导致不同的结果。相比之下，仅仅沟通算法并不能构成足够简洁明了和易于理解的解释。
如果控制者认为要提供的信息包含第三方的受保护数据或商业秘密，则控制者必须向主管监管机构或法院提供所称的受保护的信息。由该监管机构或法院来平衡有争议的权利和利益，以确定数据主体访问该信息的权利范围。
在这一方面，欧盟法院表示，《一般数据保护条例》排除了一项国家规定的适用，该规定通常排除了在损害控制者或第三方的商业秘密的情况下的访问权。
斐石律师事务所
