사실관계
SCHUFA Holding은 은행 등 거래처에 개인의 신용도 정보를 제공하는 독일의 민간 신용정보회사다. 이 회사는 개인이 장래에 채무를 이행할 가능성을 수학적·통계적 방법으로 점수화한다. 신청인 OQ는 SCHUFA가 은행에 부정적인 정보를 전달한 뒤 대출을 거절당했다. 관할 개인정보 감독기관이 SCHUFA에 대한 조치를 거부하자 OQ는 비스바덴 행정법원에 소송을 제기했다. 비스바덴 행정법원은 이러한 점수 산출에 EU 일반개인정보보호규정(GDPR)이 어떻게 적용되는지에 관해 유럽사법재판소(CJEU)에 선결적 판결을 요청했다.
OQ v Land Hessen (SCHUFA Holding – Scoring) 사건의 쟁점은 무엇이었나요?
쟁점은 은행의 사후 결정과 별개로, 확률 점수를 산출하는 행위 자체가 GDPR 제22조 제1항의 '자동화된 개별 결정'에 해당할 수 있는지였다. 좁게 해석하면 점수 산출은 계약에 관한 결정을 내리는 은행의 행위를 위한 준비 행위에 불과하다. 회부 법원은 이러한 해석을 받아들이면 제22조의 보호가 사실상 회피될 수 있다고 우려했다. 점수 산출이 제22조에 해당한다면, 그 근거로 원용될 수 있는 독일 연방개인정보보호법 규정이 GDPR의 예외 요건을 충족하는지도 함께 문제가 될 수밖에 없었다.
유럽사법재판소(CJEU) 제1재판부의 판단은 무엇이었나요?
재판소는 채무 이행 능력에 관한 확률값을 산출하는 행위가, 그 값을 전달받은 은행 등 제3자가 계약 체결·이행·해지 여부를 정할 때 이에 크게 의존하는 경우 제22조 제1항의 자동화된 개별 결정에 해당한다고 판단했다. 회부 법원의 판단에 따르면 이 사건이 그러한 경우에 해당한다. 따라서 이러한 점수 산출은 예외가 인정되지 않는 한 원칙적으로 금지된다. 독일 연방개인정보보호법에 유효한 예외 규정이 있는지, 있다면 GDPR의 일반적인 처리 요건을 충족하는지는 비스바덴 법원이 판단한다.
OQ v Land Hessen (SCHUFA Holding – Scoring) 결정은 왜 중요한가요?
이 판결로 제22조의 적용 범위가 점수를 산출하는 사업자에게까지 확대되었다. 신용정보회사나 프로파일링 서비스 제공자는 최종 결정을 고객이 형식적으로 내린다는 이유만으로 제22조의 적용을 피할 수 없다. 점수가 실제로 결과를 좌우한다면 제공자는 제22조 제2항의 예외 가운데 하나에 근거해야 한다. 그 예외가 회원국 법률에 근거한 것이라면, 해당 법률에 사람의 개입을 요구할 권리를 포함한 적절한 보호조치가 마련되어 있어야 한다.
관련 절차
재판소는 같은 날 C-26/22 및 C-64/22 병합 사건에서, 민간 신용정보회사가 잔존채무 면책 정보를 공적 파산등록부의 보존 기간인 6개월보다 오래 보관하는 것은 GDPR에 위반된다고 판단했다. 회부 법원인 비스바덴 행정법원은 2025년 11월 19일 판결(6 K 788/20.WI)에서, 신용평점에 관한 설명이 GDPR 제15조 제1항 (h)호에 비추어 불충분하다는 이유로 헤센주 개인정보 감독기관(HBDI)에 SCHUFA에 대한 조치를 취할 의무가 있다고 판단했다. 이 판결은 확정되지 않았으며, 법원은 항소(Berufung)와 비약상고(Sprungrevision)를 모두 허용했다.