사실관계
오스트리아의 한 이동통신사는 고객의 신용도가 부족하다는 이유로 월 10유로를 내는 계약 체결을 거절했다. 통신사는 신용평가 전문업체인 Dun & Bradstreet Austria가 자동화된 방식으로 수행한 평가에 의존했다. 오스트리아 법원은 이 회사가 자동화된 의사결정에 적용된 논리에 관한 유의미한 정보를 제공하지 않아 EU 일반개인정보보호규정(GDPR)을 위반했다고 확정 판단했다. 집행기관인 빈 시청(Magistrat der Stadt Wien)은 이 판단의 집행을 구하는 정보주체의 신청을 거부했고, 이 거부에 대한 불복을 심리한 빈 행정법원이 회사가 구체적으로 무엇을 해야 하는지에 관해 유럽사법재판소(CJEU)에 선결적 판결을 요청했다.
쟁점
이 사건은 프로파일링을 포함한 자동화된 의사결정에 관하여 '관련 논리에 대한 유의미한 정보'를 받을 권리를 규정한 GDPR 제15조 제1항 (h)호의 열람권 범위에 관한 것이었다. 회부 법원은 그 정보가 어느 정도 구체적이어야 하는지, 개인정보처리자가 자신 또는 제3자의 영업비밀(지침 2016/943)을 이유로 정보 제공을 거부할 수 있는지, 영업비밀이 침해될 경우 열람을 원칙적으로 배제하는 오스트리아 규정이 GDPR과 양립하는지를 물었다.
판단
재판소는 개인정보처리자가 실제로 적용한 절차와 원칙을, 정보주체가 자신의 어떤 개인정보가 어떻게 사용되었는지 이해할 수 있도록 설명해야 한다고 판단했다. 고려된 데이터가 달라졌다면 결과가 어느 정도 달라졌을지를 알려주는 방식이 적절할 수 있다. 반면 알고리즘을 그대로 전달하는 것만으로는 충분히 간결하고 이해 가능한 설명이 되지 않는다. 처리자가 해당 정보에 영업비밀이나 제3자의 개인정보가 포함되어 있다고 보는 경우에는 이를 관할 감독기관이나 법원에 제출해야 하며, 이익 형량은 그 기관이 한다. 영업비밀이 관련된 경우 열람을 원칙적으로 배제하는 국내 규정은 GDPR에 반한다.
의의
이 판결은 이른바 '설명을 요구할 권리' 논의에 구체적인 내용을 부여했다. 신용평점 등 자동화 시스템을 쓰는 개인정보처리자는 결과를 좌우한 요인을 정보주체가 이해하고 결정에 이의를 제기하는 데 활용할 수 있는 방식으로 설명할 수 있어야 하며, 기밀 유지를 포괄적인 항변으로 내세울 수 없다. SCHUFA 판결과 함께 보면, 제22조가 언제 적용되는지와 적용될 때 어느 수준의 투명성이 요구되는지가 한층 분명해진다.