The right to obtain information about decision-making based solely on automated data processing – commentary on the judgment of the Court of Justice of 27 February 2025 in case C-203/22

On 27 February 2025, the Court of Justice of the European Union delivered its judgment in Case C-203/22 concerning the right to obtain information about decisions based solely on automated data processing. The Court held that Article 15(1)(h) of the GDPR grants data subjects the right to receive explanations regarding the principles and procedures of automated data processing that led to a specific decision. At the same time, the CJEU emphasised that controllers cannot arbitrarily refuse to fulfil this right on the grounds of protecting trade secrets; any potential limitations must result from an individual balancing of interests conducted by a supervisory authority or a court. The purpose of this article is to analyse the Court’s reasoning, to discuss how controllers can meet requests for explanations regarding automated decision-making in light of the standards set by the judgment, and to assess the impact of the Court’s interpretation on the application of the right to explanations under Article 86 of the AI Act.

Bibliografia/References

 

Literatura/Literature

Bauer, K., Gill, A., Langenbucher, K., & Franke, L. (2025). Institutionalizing explainability: On credit scoring, AI, and consumer agency. SAFE White Paper, nr 116. Leibniz Institute for Financial Research SAFE. https://hdl.handle.net/10419/334497

Brkan, M., & Bonnet, G. (2020). Legal and technical feasibility of the GDPR’s quest for explanation of algorithmic decisions: Of black boxes, white boxes and fata morganas. European Journal of Risk Regulation, 11(1), 18–50. https://doi.org/10.1017/err.2020.10

de Bruijn, H., Warnier, M., & Janssen, M. (2022). The perils and pitfalls of explainable AI: Strategies for explaining algorithmic decision-making. Government Information Quarterly, 39(2), 101666. https://doi.org/10.1016/j.giq.2021.101666

Cheong, B. C. (2024). Transparency and accountability in AI systems: Safeguarding wellbeing in the age of algorithmic decision-making. Frontiers in Human Dynamics, 6, 1421273. https://doi.org/10.3389/fhumd.2024.1421273

Custers, B., & Heijne, A.-S. (2022). The right of access in automated decision-making: The scope of article 15(1)(h) GDPR in theory and practice. Computer Law & Security Review, 46, 105727. https://doi.org/10.1016/j.clsr.2022.105727

Genicot, N. (2025). Scoring the European citizen in the AI era. Computer Law & Security Review, 57, 106130. https://doi.org/10.1016/j.clsr.2025.106130

Juliussen, B. A. (2025). The right to an explanation under the GDPR and the AI Act. W: I. Ide, I. Kompatsiaris, C. Xu, K. Yanai, W.-T. Chu, N. Nitta, M. Riegler, & T. Yamasaki (red.), MultiMedia Modeling: 31st International Conference on Multimedia Modeling, MMM 2025, Nara, Japan, January 8–10, 2025, Proceedings, Part IV (s. 184 –197). Springer. https://doi.org/10.1007/978-981-96-2071-5_14

Kupiec, M. (2024). Nowe spojrzenie na zautomatyzowane podejmowanie decyzji w rozumieniu art. 22 RODO – glosa do wyroku Trybunału Sprawiedliwości z 7.12.2023 r., C-634/21, OQ przeciwko Land Hessen przy udziale: SCHUFA Holding AG. Europejski Przegląd Sądowy, (3), 33–39.

Margoni, T., & King, L. (2026). Authority-mediated trade secrecy in the AI Act: An example of functional constitutionalisation of transparency? [preprint]. SSRN. https://doi.org/10.2139/ssrn.6273778

Matulionyte, R., & Aranovich, T. (2022). Trade secrets versus the AI explainability principle. W: R. Abbott (red.), Research Handbook on Intellectual Property and Artificial Intelligence (s. 405–422). Edward Elgar Publishing. https://doi.org/10.4337/9781800881907.00030

Metikoš, L., & Ausloos, J. (2025). The right to an explanation in practice: Insights from case law for the GDPR and the AI Act. Law, Innovation and Technology, 17(1), 205–240. https://doi.org/10.1080/17579961.2025.2469349

Nnawuchi, U., & George, C. (2024). A grand entrance without a blueprint: A critical analysis of the right to explanation in Article 86 of the European Union Artificial Intelligence Act. AIRe – Journal of AI Law and Regulation, 1(4), 402–419. https://doi.org/10.21552/aire/2024/4/6

O’Hara, K. (2020). Explainable AI and the philosophy and practice of explanation. Computer Law & Security Review, 39, 105474. https://doi.org/10.1016/j.clsr.2020.105474

Palazzo, D. (2025). The right to explanation of automated decisions under the GDPR: The issues of explainability of AI outputs and protection of trade secrets. European Data Protection Law Review, 11(3), 375–379. https://doi.org/10.21552/edpl/2025/3/15

Palma Ortigosa, A. (2025). Remedies (Chapter IX, Section 4). W: A. Huergo Lora (red.), G. M. Díaz González (koord.), The EU regulation on artificial intelligence: A commentary (s. 503–520). Wolters Kluwer Italia.

Peisker, Y. (2023). Der datenschutzrechtliche Auskunftsanspruch: Grundlagen, Reichweite und praktische Probleme des Art. 15 DSGVO im Beschäftigungskontext. Nomos. https://doi.org/10.5771/9783748941545

Radtke, T. (2025). Das Recht auf Erklärung unter der DSGVO und der KI-VO. W: M. Dregelies, H. Henke, & L. K. Kumkar (red.), Artificial Intelligence: Rechtsfragen und Regulierung künstlicher Intelligenz im Europäischen Binnenmarkt (s. 53–70). Nomos. https://doi.org/10.5771/9783748947516-53

Sever, T. (2025). Trends of automated decision-making in the public sector. W: N. Urs, D. Špaček, & S. Nõmmik (red.), Digital transformation in European public services: Complexities, challenges, and good practices (s. 25–53). Palgrave Macmillan. https://doi.org/10.1007/978-3-031-81425-9_3

Sibiga, G. (2022). Wyłączenie zakazu zautomatyzowanego podejmowania decyzji w przepisach prawa polskiego w świetle wymagań ogólnego rozporządzenia o ochronie danych (RODO) – wybrane zagadnienia. Monitor Prawniczy, (21, dodatek specjalny), 87–94.

Wachter, S., Mittelstadt, B., & Floridi, L. (2017). Why a right to explanation of automated decision-making does not exist in the General Data Protection Regulation. International Data Privacy Law, 7(2), 76–99. https://doi.org/10.1093/idpl/ipx005

Wachter, S., Mittelstadt, B., & Russell, C. (2018). Counterfactual explanations without opening the black box: Automated decisions and the GDPR. Harvard Journal of Law & Technology, 31(2), 841–887. https://jolt.law.harvard.edu/assets/articlePDFs/v31/Counterfactual-Explanations-without-Opening-the-Black-Box-Sandra-Wachter-et-al.pdf

 

Wytyczne i stanowiska/Guidelines and opinions

Article 29 Data Protection Working Party. (2018, 6 lutego). Guidelines on automated individual decision-making and profiling for the purposes of Regulation 2016/679 (WP251rev.01). https://ec.europa.eu/newsroom/article29/items/612053/en

European Data Protection Board. (2021, 13 października). Guidelines 10/2020 on restrictions under Article 23 GDPR (Version 2.1). https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-102020-restrictions-under-article-23-gdpr_en

European Data Protection Supervisor. (2023, 16 listopada). TechDispatch #2/2023: Explainable Artificial Intelligence (XAI). https://data.europa.eu/doi/10.2804/802043

 

Akty prawne/Legal acts

Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz – DSG). I Nr. 165/1999 ze zm.

Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/943 z dnia 8 czerwca 2016 r. w sprawie ochrony niejawnego know-how i niejawnych informacji handlowych (tajemnic przedsiębiorstwa) przed ich bezprawnym pozyskiwaniem, wykorzystywaniem i ujawnianiem, Dz.Urz.UE L z 2016 r. nr 157, s. 1).

Dyrektywa Parlamentu Europejskiego i Rady (UE) 2024/2831 z dnia 23 października 2024 r. w sprawie poprawy warunków pracy za pośrednictwem platform, Dz.Urz.UE L z 2024 r. poz. 2831.

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), Dz.Urz.UE L z 2016 r. nr 119, s. 1 z późn. zm.

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji oraz zmiany rozporządzeń (WE) nr 300/2008, (UE) nr 167/2013, (UE) nr 168/2013, (UE) 2018/858, (UE) 2018/1139 i (UE) 2019/2144 oraz dyrektyw 2014/90/UE, (UE) 2016/797 i (UE) 2020/1828 (akt w sprawie sztucznej inteligencji), Dz.Urz.UE L z 2024 r. poz. 1689).

 

Orzecznictwo/Judgments

Wyrok TS z 7 grudnia 2023 r., OQ v. Land Hessen, C‑634/21, EU:C:2023:957.

Wyrok TS z 27 lutego 2025 r., CK przeciwko Magistrat der Stadt Wien, C-203/22, EU:C:2025:117.