오스트리아 규제기관: KSV1870의 신용 점수 자체가 자동화된 결정이었다

오스트리아의 한 소비자가 Unsere Wasserkraft | go green energy와 전기 계약을 온라인으로 신청했다. 1분 이내에 신규 고객 환영 이메일이 도착했고, 이어서 신용 사유로 인한 거절이 뒤따랐다. 공급업체는 오스트리아 최대 신용평가사인 KSV1870에서 신용 점수를 받았는데, 403이었다. 공급업체는 400 이상의 점수를 받은 신청은 자동으로 거절하며, 이 경로를 통해 월 약 6,000~10,000건의 에너지 공급 신청을 처리한다.

개인정보보호 단체 noyb가 대리한 신청인은 2024년 8월 29일 오스트리아 개인정보보호청에 진정을 제기했다. 2025년 9월 25일 결정 D124.1994/24에서 당국은 CJEU의 2023년 SCHUFA 판결(C-634/21)을 적용했다. 즉, 점수가 계약 결정에서 결정적(유일하지 않더라도) 기준이었으므로 KSV1870이 스스로 GDPR 제22조 제1항에 따른 자동화된 결정을 한 것이었다. 단지 권고를 제공했을 뿐이라는 KSV1870의 주장은 배척되었다. 당국은 KSV1870에 대해 즉시 효력으로, 동의 없이 이 신청인을 자동화된 의사결정 목적으로 점수화하는 것을 금지했다.

공급업체의 거절은 제22조 제2항 (a)의 계약 예외에 따라 적법하다고 판단되어 그 점에 대한 공급업체 상대 진정은 기각되었으나, 당국은 여전히 공급업체가 자동화된 결정에 관해 신청인에게 고지하고 그 논리를 설명할 의무를 위반했다고 인정했다. 특히 해당 점수는 나중에 수작업으로 재검토되어 더 낮게 조정되었으며, 당국은 낮은 점수가 더 나은 점수였다고 지적했다.

DSB는 KSV1870에 대해 즉시 효력으로, 동의 없이 이 고객을 자동화된 결정 목적으로 점수화하는 것을 금지했으며, 두 회사 모두 투명성 의무를 위반했다.

이 결정은 SCHUFA를 신용에서 공공요금으로 확장한다. 전기 가입에서 임계값으로 필터링된 점수는 설명을 요구할 권리가 따르는 제22조 결정이다.

제22조 의무는 고객 대면 기업만이 아니라 신용평가사에도 부담된다. '우리는 권고만 제공한다'는 주장은 400이라는 확고한 기준선 앞에서 통하지 않았다.

양 당사자는 각자 투명성 의무를 위반했다. 거절은 적법했으나 그 배후의 체계에 대한 침묵은 위법이었다.

인간의 재검토가 더 나은 점수를 산출했는데, 이는 자동화의 판단이 단지 설명이 부족했던 것이 아니라 사실관계상 틀렸다는 증거다.

CJEU의 SCHUFA 판결 이후, 답을 좌우하는 점수는 조언이 아니라 결정이며, 그 점수를 산출하는 신용평가사가, 그것을 사용하는 기업만이 아니라, 공개 의무를 진다.

KSV1870에 대한 금지는 이 신청인의 데이터에 대해 즉시 효력을 발휘했으며, noyb를 통해 편집된 형태로 공개된 이 결정은 소비자 계약에서 자동화된 신용 점수화에 SCHUFA 원칙을 적용한 오스트리아의 사례로 남는다. 거절 자체에 대해서는 기각된 공급업체는 월 6,000~10,000명의 신청자 경로에 대한 공개 의무 위반 인정 상태로 남아 있다.