독일 연방대법원은 SCHUFA 사건에서 무엇을 판단했나

독일 연방대법원(Bundesgerichtshof, BGH)은 2026년 10월 21일 신용평가기관 SCHUFA가 소비자에게 신용점수 산정 방식을 언제 설명해야 하는지 판단했습니다. 연방대법원은 4건의 판결(I ZR 227/25~I ZR 230/25)에서, SCHUFA 점수는 기업이 그 사람과 계약을 체결·이행·종료할지를 그 점수에 결정적으로 의존해 정한 경우에만 GDPR 제22조의 자동화된 결정에 해당한다고 보았습니다. 입증책임은 소비자에게 있지만, 법원은 그 부담을 크게 덜어 주었습니다.

연방대법원 보도자료 제198/2026호에 따르면, 소비자는 SCHUFA가 어느 기업에 점수를 보냈고 그 직후 자신에게 불리한 계약상 결정이 내려졌다는 사실만 보이면 됩니다. 그러면 점수가 결정적이었다고 추정되고, 이를 뒤집을 책임은 SCHUFA가 집니다. 연방대법원은 드레스덴 고등법원(OLG)의 2025년 10월 7일 판결 4건을 파기하고 사건을 환송했습니다.

신용점수가 자동화된 결정이 되는 조건은 무엇인가

연방대법원은 GDPR 제22조 제1항의 세 요건 가운데 세 번째, 즉 정보주체에 대한 중대한 영향만 확인되지 않았다고 보았습니다(I ZR 227/25 판결 이유).

  • 결정이 있다. 지급능력에 관한 확률값을 계산하는 것 자체가 결정입니다. 외부에 보내지 않는 내부 '기본점수'도 마찬가지입니다.
  • 완전히 자동화된 프로파일링이다. 개인의 데이터를 과거에 비슷한 데이터를 가졌던 통계 집단에 대응시키는 방식은 GDPR 제4조 제4호의 프로파일링입니다.
  • 중대한 영향은 입증되지 않았다. 점수를 받은 기업의 계약 결정이 그 점수에 결정적으로(maßgeblich) 좌우되어야 합니다. 드레스덴 법원은 이 점을 심리하지 않았습니다.

처리 논리에 관한 의미 있는 정보를 요구할 권리(GDPR 제15조 제1항 (h)호)는 세 요건이 모두 충족될 때에만 생깁니다. 다만 소비자가 점수 산정의 위법성까지 증명할 필요는 없습니다.

입증 기준이 핵심입니다. 연방대법원은 EU법의 효과성 원칙, 곧 국내 절차가 EU법상 권리 행사를 사실상 불가능하게 해서는 안 된다는 원칙을 근거로, 점수 전송과 시간적으로 가까운 불리한 결정만 보이면 '사실상 추정'이 생긴다고 했습니다. 은행이 독일 은행법(KWG) 제18a조에 따라 스스로 신용도를 심사할 의무가 있다는 사정도 추정을 깨지 못합니다. 그 의무는 점수가 실제로 얼마나 비중을 가졌는지에 대해 아무것도 말해 주지 않는다는 것입니다.

설명 의무가 인정되면 SCHUFA가 2023년에 보낸 안내문으로는 부족합니다. SCHUFA는 데이터 유형별로 '++'부터 '--'까지 평가한 기준, 평가 사이의 가중치, 점수 간 큰 차이의 이유를 설명해야 합니다. 일반적인 영업비밀 주장만으로는 거절할 수 없고 이익형량이 필요합니다. 다만 알고리즘 자체까지 넘겨줄 필요는 없다는 드레스덴 법원의 판단은 이번 판결에서도 바뀌지 않았습니다.

EU 사법재판소 SCHUFA 판결과는 어떤 관계인가

이번 판결은 EU 사법재판소(CJEU)의 2023년 12월 7일 SCHUFA 판결(C-634/21)을 적용하면서, 그 판결이 각국 법원에 남긴 입증 문제에 답한 것입니다. CJEU는 점수를 받은 제3자가 계약 결정에서 점수에 크게 의존한다면 점수 산정 자체가 제22조 제1항의 자동화된 결정이라고 보았습니다(CJEU SCHUFA 판결 요약). 2025년 2월 27일 Dun & Bradstreet Austria 판결(C-203/22)은 실제 적용된 절차와 원칙을 이해할 수 있게 설명해야 한다고 했습니다(Dun & Bradstreet Austria 판결 요약). 연방대법원은 대출기관 내부에만 있는 사실과 CJEU 기준 사이에 입증의 다리를 놓았습니다.

이 논리는 신용평가 밖에서도 통합니다. 서류상 '최종 결정은 사람이 한다'는 것만으로는 부족하다는 점은 인사 관리 분야의 자동화된 차별과 운전자 계정 자동 정지로 우버에 부과된 네덜란드 과징금에서도 확인됩니다. 다만 독일 법률 매체 LTO에 따르면 2026년 3월 17일부터 쓰이는 SCHUFA의 새 점수 모델은 이번 사건의 대상이 아니었습니다.

한국의 자동화된 결정에 대한 정보주체의 권리와 비교하면

한국은 신용평가에 특화된 설명요구권이 있어 독일보다 소비자의 입증 부담이 가볍습니다.

개인정보 보호법. 2024년 3월 15일 시행된 개인정보 보호법 제37조의2에 따라 정보주체는 인공지능을 포함한 완전히 자동화된 시스템에 의한 결정이 자신의 권리 또는 의무에 중대한 영향을 미치면 이를 거부할 수 있습니다. 동의·법률·계약(제15조 제1항 제1호·제2호·제4호)에 따른 결정에는 거부권이 없지만, 설명 등을 요구할 권리는 남습니다. 개인정보처리자는 기준과 절차를 공개해야 합니다(제4항). 자세한 내용은 자동화된 결정 가이드를 참고하시기 바랍니다.

신용정보법. 개인신용정보 보호에 관해서는 신용정보의 이용 및 보호에 관한 법률(신용정보법)에 특별한 규정이 있으면 그 규정이 개인정보 보호법보다 먼저 적용됩니다(제3조의2). 제36조의2에 따라 개인은 개인신용평가회사 등에 자동화평가 여부와 그 결과, 주요 기준, 기초정보의 개요를 설명해 달라고 요구할 수 있고, 기초정보의 정정·삭제와 평가 결과의 재산출도 요구할 수 있습니다. 설명하지 않으면 3천만 원 이하의 과태료 대상입니다(제52조 제3항). 독일과 달리 특정 거절 결정에서 점수가 결정적이었다는 점을 증명할 필요가 없습니다. 위험 점수 산정을 둘러싼 데이터 흐름에 대해서는 서울행정법원의 카카오페이 판결도 참고할 만합니다.

튀르키예. 은행들이 설립한 신용조회기관 KKB(Kredi Kayıt Bürosu)가 산출하는 Findeks 신용점수는 1점부터 1900점까지이며, Findeks는 상환 습관 45%, 현재 계좌·부채 현황 32%, 신용 이용 강도 18%, 신규 신용상품 5%의 비중을 공개합니다. 튀르키예 개인정보보호법(KVKK) 제11조 제1항 (g)호는 '오로지' 자동화된 분석으로 생긴 불리한 결과에 이의를 제기할 권리만 두고 있습니다(KVKK AI 거버넌스 가이드).

신용점수를 만들거나 쓰는 기업이 점검할 사항

  • 점수를 누가 만들고 누가 결정하며, 실제로 점수가 얼마나 비중을 갖는지 기록합니다. 점수와 다르게 결정한 비율이 내부 방침보다 많은 것을 말해 줍니다.
  • 거절이 소득·담보 등 다른 이유에 근거했다면 그 근거를 남깁니다.
  • 평가 기준, 가중치, 데이터가 바뀌면 결과가 어떻게 달라지는지를 이해하기 쉽게 설명할 수 있도록 준비합니다.
  • EU AI법 부속서 III 제5호 (b)목은 금융 사기 탐지용을 제외하고, 자연인의 신용도를 평가하거나 신용점수를 산정하는 AI 시스템을 고위험으로 분류합니다(고위험 판단 가이드).

독일에서 앞으로 달라지는 것

사건은 드레스덴 고등법원으로 돌아가 점수별로 결정적이었는지를 다시 심리합니다. 또 2026년 11월 20일부터 소비자신용지침((EU) 2023/2225) 이행법(BGBl. 2026 I Nr. 139)에 따른 연방개인정보보호법(BDSG) 제37a조가 시행됩니다. 민감정보, 나이, 성별, 이름, SNS 정보, 계좌 입출금 정보, 주소 정보를 점수 산정에 쓸 수 없고 미성년자의 점수도 만들 수 없습니다. 요청이 있으면 사용한 데이터와 기준, 영향이 가장 큰 기준의 가중치, 점수의 설명력, 산출한 점수와 그 제공 대상을 알려야 합니다. 연방대법원은 이 권리가 GDPR 제15조 제1항 (h)호와 별도로 존재한다고 밝혔습니다.

자주 묻는 질문

자동화된 결정이란 무엇인가요?

한국 개인정보 보호법 제37조의2는 인공지능을 포함한 완전히 자동화된 시스템으로 개인정보를 처리해 이루어지는 결정을 자동화된 결정이라고 합니다. 행정기본법 제20조에 따른 행정청의 자동적 처분은 제외됩니다. EU GDPR 제22조도 사람의 개입 없이 자동화된 처리에만 근거한 결정을 대상으로 합니다.

자동화된 결정에 대한 정보주체의 권리는 무엇인가요?

개인정보 보호법 제37조의2에 따라 정보주체는 권리·의무에 중대한 영향을 미치는 자동화된 결정을 거부할 수 있고, 자동화된 결정에 대해 설명 등을 요구할 수 있습니다. 개인정보처리자는 정당한 사유가 없으면 결정을 적용하지 않거나 사람이 개입한 재처리·설명 등의 조치를 해야 합니다.

신용점수 산정 기준을 알 수 있나요?

신용정보법 제36조의2에 따라 개인은 개인신용평가회사 등에 자동화평가 여부, 평가 결과, 주요 기준, 기초정보의 개요를 설명해 달라고 요구할 수 있습니다. 기초정보가 부정확하면 정정·삭제와 재산출도 요구할 수 있습니다. 다만 법령상 의무가 있거나 거래 유지가 곤란한 경우 등에는 거절될 수 있습니다.

독일 연방대법원 판결이 한국 기업에도 영향이 있나요?

독일 연방대법원 판결은 EU GDPR을 해석한 것으로 한국 법원을 구속하지 않습니다. 그러나 다만 GDPR이 적용되는 EU 시장에서 신용점수나 AI 기반 위험 점수를 제공하는 한국 기업이라면, 독일 법원에서는 점수 전송 직후 불리한 결정이 내려지면 점수가 결정적이었다고 추정될 수 있다는 점을 염두에 둘 필요가 있습니다.

부르한 도우쉬 아이파를라르의 견해

2023년 CJEU는 점수 자체가 결정이 될 수 있다고 했지만, 은행 밖에 있는 사람이 그것을 어떻게 증명할지는 정하지 못했습니다. 연방대법원은 현실적인 답을 내놓았고, 저는 옳은 답이라고 봅니다. 증명할 수 없는 권리는 권리가 아니며, 추정을 뒤집을 증거는 SCHUFA와 그 고객이 가지고 있습니다. 모델의 출력이 서류상 '참고 자료'에 불과한 모든 곳에서, 법원은 사람이 그 출력과 얼마나 자주 다르게 판단했는지 물을 것입니다.

이 글은 일반적인 정보 제공을 위한 것으로 법률 자문이 아닙니다. 2026년 10월 21일 연방대법원 보도자료 제198/2026호, I ZR 227/25 및 I ZR 228/25 판결 이유, BGBl. 2026 I Nr. 139, CJEU C-634/21 및 C-203/22 판결, EU AI법(규칙 (EU) 2024/1689), 튀르키예 법률 제6698호·제5411호, 한국 개인정보 보호법과 신용정보법, KKB와 Findeks의 공개 정보를 2026년 10월 25일 기준으로 확인했습니다. SCHUFA의 새 점수 모델에 관한 내용은 LTO 보도에 따른 것입니다. 독일어 번역은 필자의 것입니다. 드레스덴 법원이 추정을 어떻게 적용할지는 아직 알 수 없으며, 구체적 사안은 개별 검토가 필요합니다.