Hof van Justitie EU: SCHUFA-score valt onder bescherming artikel 22 AVG

Hof van Justitie EU 7 december 2023, IT 5280; IEFbe 4226; ECLI:EU:C:2023:957 (OQ tegen Land Hessen, SCHUFA Holding). In deze zaak staat de vraag centraal of het automatisch vaststellen van een kredietscore door een kredietinformatiebureau kan worden aangemerkt als geautomatiseerde individuele besluitvorming in de zin van artikel 22 AVG. SCHUFA stelde op basis van persoonsgegevens een waarschijnlijkheidswaarde vast over de kredietwaardigheid van een persoon. Die score werd vervolgens verstrekt aan derden, zoals banken, die deze waarde gebruikten bij de beoordeling of zij al dan niet een contractuele relatie met de betrokkene aangingen. Volgens SCHUFA nam zij zelf geen besluit, maar verstrekte zij slechts informatie aan haar contractuele partners.

Het Hof van Justitie volgt die redenering niet. Wanneer de door een kredietinformatiebureau geautomatiseerd vastgestelde score een doorslaggevende rol speelt bij de beslissing van een derde, zoals het weigeren van een lening, is sprake van geautomatiseerde individuele besluitvorming in de zin van artikel 22 AVG. Dat betekent dat dergelijke scoring in beginsel verboden is, tenzij een van de uitzonderingen uit artikel 22 lid 2 AVG van toepassing is en passende waarborgen voor de betrokkene zijn getroffen. Het Hof benadrukt dat een beperkte uitleg van artikel 22 AVG zou kunnen leiden tot een lacune in de rechtsbescherming. De betrokkene zou dan noch bij het kredietinformatiebureau, noch bij de derde partij effectief inzicht kunnen krijgen in de onderliggende logica en gevolgen van de verwerking. Juist vanwege de grote impact van kredietscoring op betrokkenen moet artikel 22 AVG ruim worden uitgelegd. Het Hof oordeelt daarom dat sprake is van geautomatiseerde individuele besluitvorming wanneer een kredietinformatiebureau geautomatiseerd een waarschijnlijkheidswaarde vaststelt over iemands toekomstige betalingsgedrag en van die waarde hoofdzakelijk afhangt of een derde met die persoon een overeenkomst aangaat, uitvoert of beëindigt.

75 Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

Het Hof (Eerste kamer) verklaart voor recht: 

Artikel 22, lid 1, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) 

moet aldus worden uitgelegd dat

er sprake is van „geautomatiseerde individuele besluitvorming” in de zin van deze bepaling wanneer een waarschijnlijkheidswaarde die op persoonsgegevens van een persoon is gebaseerd en betrekking heeft op diens vermogen om in de toekomst betalingsverplichtingen na te komen, geautomatiseerd wordt vastgesteld door een kredietinformatiebureau en wanneer hoofdzakelijk van die waarschijnlijkheidswaarde afhangt of een derde, aan wie deze waarschijnlijkheidswaarde wordt doorgegeven, met die persoon een contractuele relatie tot stand brengt, uitvoert of beëindigt.