Régulateur autrichien : le score de crédit de KSV1870 était lui-même une décision automatisée

Un consommateur en Autriche a demandé en ligne un contrat d'électricité auprès d'Unsere Wasserkraft | go green energy. En moins d'une minute, il a reçu un e-mail de bienvenue en tant que nouveau client, suivi d'un refus pour des raisons de crédit. Le fournisseur avait obtenu un score de crédit auprès de KSV1870, le plus grand bureau de crédit autrichien : 403. Le fournisseur refuse automatiquement toute demande dont le score atteint 400 ou plus — et il traite environ 6 000 à 10 000 demandes de fourniture d'énergie par mois via ce filtre.

Le plaignant, représenté par le groupe de défense de la vie privée noyb, a saisi l'autorité autrichienne de protection des données le 29 août 2024. Dans la décision D124.1994/24 du 25 septembre 2025, l'autorité a appliqué l'arrêt SCHUFA rendu par la CJUE en 2023 (C-634/21) : le score ayant été un critère décisif — sinon le seul — dans la décision contractuelle, KSV1870 avait lui-même pris une décision automatisée au sens de l'article 22, paragraphe 1, du RGPD. Son argument selon lequel elle ne fournissait qu'une recommandation a été rejeté. L'autorité a interdit à KSV1870, avec effet immédiat, de scorer ce plaignant aux fins de décisions automatisées sans consentement.

Le refus du fournisseur a été jugé licite au titre de l'exception contractuelle prévue à l'article 22, paragraphe 2, point a), de sorte que la plainte dirigée contre lui sur ce point a échoué — mais l'autorité a néanmoins constaté que le fournisseur avait manqué à son obligation d'informer le plaignant de la décision automatisée et d'en expliquer la logique. Il est à noter que le score a ensuite été réexaminé manuellement et abaissé ; l'autorité a observé que le score inférieur était le meilleur.

La DSB a interdit à KSV1870, avec effet immédiat, de scorer ce client aux fins de décisions automatisées sans consentement ; les deux entreprises ont manqué à leurs obligations de transparence.

La décision étend SCHUFA du crédit aux services publics : un score filtré par un seuil lors d'une souscription d'électricité constitue une décision au sens de l'article 22, ouvrant droit à une explication.

C'est le bureau de crédit, et non seulement l'entreprise en contact avec le client, qui porte l'obligation de l'article 22 — l'argument « nous ne fournissons qu'une recommandation » n'a pas résisté à un seuil strict de 400.

Les deux parties ont manqué à leurs obligations de transparence de manière indépendante : refus licite, silence illicite sur le mécanisme qui le sous-tend.

Le réexamen humain a produit un meilleur score, ce qui montre que l'appréciation de l'automatisation était erronée sur les faits, et pas seulement insuffisamment expliquée.

Après l'arrêt SCHUFA de la CJUE, un score qui détermine la réponse est une décision, et non un avis — et le bureau qui le calcule est tenu à la divulgation, et pas seulement l'entreprise qui l'utilise.

L'interdiction visant KSV1870 a pris effet immédiat pour les données de ce plaignant, et la décision (publiée sous forme expurgée via noyb) reste l'application autrichienne de la doctrine SCHUFA au scoring de crédit automatisé dans les contrats de consommation. Le fournisseur, débouté sur le refus lui-même, reste visé par des constats de manquement en matière d'information pour son filtre appliqué à 6 000 à 10 000 demandeurs par mois.