사실관계
SCHUFA Holding은 은행 등 거래처에 개인의 신용도 정보를 제공하는 독일의 민간 신용정보회사다. 이 회사는 개인이 장래에 채무를 이행할 가능성을 수학적·통계적 방법으로 점수화한다. 신청인 OQ는 SCHUFA가 은행에 부정적인 정보를 전달한 뒤 대출을 거절당했다. 관할 개인정보 감독기관이 SCHUFA에 대한 조치를 거부하자 OQ는 비스바덴 행정법원에 소송을 제기했다. 비스바덴 행정법원은 이러한 점수 산출에 EU 일반개인정보보호규정(GDPR)이 어떻게 적용되는지에 관해 유럽사법재판소(CJEU)에 선결적 판결을 요청했다.
쟁점
쟁점은 은행의 사후 결정과 별개로, 확률 점수를 산출하는 행위 자체가 GDPR 제22조 제1항의 '자동화된 개별 결정'에 해당할 수 있는지였다. 좁게 해석하면 점수 산출은 계약에 관한 결정을 내리는 은행의 행위를 위한 준비 행위에 불과하다. 회부 법원은 이러한 해석을 받아들이면 제22조의 보호가 사실상 회피될 수 있다고 우려했다. 점수 산출이 제22조에 해당한다면, 그 근거로 원용될 수 있는 독일 연방개인정보보호법 규정이 GDPR의 예외 요건을 충족하는지도 함께 문제가 될 수밖에 없었다.
판단
재판소는 채무 이행 능력에 관한 확률값을 산출하는 행위가, 그 값을 전달받은 은행 등 제3자가 계약 체결·이행·해지 여부를 정할 때 이에 크게 의존하는 경우 제22조 제1항의 자동화된 개별 결정에 해당한다고 판단했다. 회부 법원의 판단에 따르면 이 사건이 그러한 경우에 해당한다. 따라서 이러한 점수 산출은 예외가 인정되지 않는 한 원칙적으로 금지된다. 독일 연방개인정보보호법에 유효한 예외 규정이 있는지, 있다면 GDPR의 일반적인 처리 요건을 충족하는지는 비스바덴 법원이 판단한다.
의의
이 판결로 제22조의 적용 범위가 점수를 산출하는 사업자에게까지 확대되었다. 신용정보회사나 프로파일링 서비스 제공자는 최종 결정을 고객이 형식적으로 내린다는 이유만으로 제22조의 적용을 피할 수 없다. 점수가 실제로 결과를 좌우한다면 제공자는 제22조 제2항의 예외 가운데 하나에 근거해야 한다. 그 예외가 회원국 법률에 근거한 것이라면, 해당 법률에 사람의 개입을 요구할 권리를 포함한 적절한 보호조치가 마련되어 있어야 한다.
관련 절차
재판소는 같은 날 C-26/22 및 C-64/22 병합 사건에서, 민간 신용정보회사가 잔존채무 면책 정보를 공적 파산등록부의 보존 기간인 6개월보다 오래 보관하는 것은 GDPR에 위반된다고 판단했다. 회부 법원인 비스바덴 행정법원은 2025년 11월 19일 판결(6 K 788/20.WI)에서, 신용평점에 관한 설명이 GDPR 제15조 제1항 (h)호에 비추어 불충분하다는 이유로 헤센주 개인정보 감독기관(HBDI)에 SCHUFA에 대한 조치를 취할 의무가 있다고 판단했다. 이 판결은 확정되지 않았으며, 법원은 항소(Berufung)와 비약상고(Sprungrevision)를 모두 허용했다.