オーストリア規制当局：KSV1870の信用スコア自体が自動化された決定であった

オーストリアの消費者が、Unsere Wasserkraft | go green energyとの電力契約をオンラインで申し込んだ。1分も経たないうちに新規顧客としての歓迎メールが届き、その後、信用上の理由による拒否が続いた。供給事業者はオーストリア最大の信用情報機関であるKSV1870から信用スコアを取得しており、その値は403であった。供給事業者は400以上のスコアの申請を自動的に拒否しており、この選別経路を通じて月におよそ6,000件から10,000件のエネルギー供給申込みを処理している。

申立人はプライバシー団体noybの代理のもと、2024年8月29日にオーストリアデータ保護当局に申し立てを行った。2025年9月25日の決定D124.1994/24において、当局はCJEUの2023年SCHUFA判決（C-634/21）を適用した。すなわち、スコアが契約決定における決定的な——唯一ではないにせよ——基準であったため、KSV1870自身がGDPR第22条(1)に基づく自動化された決定を行ったというのである。単に推奨を提供したにすぎないという同機関の主張は退けられた。当局はKSV1870に対し、同意なくこの申立人を自動意思決定のためにスコアリングすることを即時禁止した。

供給事業者の拒否は第22条(2)(a)の契約上の例外により適法とされたため、この点に関する同社への申立ては認められなかった。しかし当局は、供給事業者が自動化された決定について申立人に通知し、その論理を説明する義務に違反したとも認定した。特筆すべきは、スコアが後に人手で見直され、より低い値に設定されたことである。当局は、低い方のスコアがより適切であったと指摘した。

DSBはKSV1870に対し、同意なくこの顧客を自動意思決定のためにスコアリングすることを即時禁止した。両社とも透明性義務に違反した。

この決定はSCHUFAを信用分野から公益事業分野へと拡張するものである。電力申込みにおける閾値で選別されたスコアは、説明を受ける権利を伴う第22条の決定である。

第22条の義務を負うのは顧客対応企業だけでなく信用情報機関でもある。「当社は推奨を提供するだけだ」という主張は、厳格な400の足切りを前にして通用しなかった。

両当事者はそれぞれ独立に透明性を欠いた。適法な拒否と、その背後にある仕組みについての違法な沈黙である。

人手による再審査はより良いスコアを生み出した。これは自動化の判断が単に説明不足であっただけでなく、事実に照らして誤っていたことの証拠である。

CJEUのSCHUFA判決以降、回答を左右するスコアは助言ではなく決定であり、それを算出する信用情報機関が開示義務を負うのであって、それを利用する企業だけが負うのではない。

KSV1870に対する禁止はこの申立人のデータについて即時に効力を生じ、決定（noybを通じて黒塗り版が公表された）は、消費者契約における自動信用スコアリングにSCHUFA法理を適用したオーストリアの先例として存続している。供給事業者は拒否自体については退けられたものの、月6,000件から10,000件の申請者の選別経路に関する開示についての違反認定を依然として受けている。