欧洲法院关于“信用评分”的裁决——知情权的范围及其...

fabiha01

欧洲法院 (ECJ) 于 2025 年 2 月 27 日作出的现行裁决(C-203/22 - Dun & Bradstreet Austria GmbH) 明确规定，根据《信息权利公约》第 6 条，数据主体享有全面的信息权利。 GDPR 第 15（1）（h）条规定，特别是与信用评分程序相关的自动决策方面。在此背景下，欧洲法院还对奥地利数据保护法（DSG）第 4（6）条规定的适用性发表了评论。

第 14 条规定的含义范围内提供的信息的范围。 GDPR 第 15（1）（h）条
诉讼的起点是数据主体对判决中提到的信贷机构处理其个人数据的投诉。她认为自己没有得到有关其数据处理充分的告知。虽然提供了数据处理的一般信息，但并未透露数据的具体来源以及分数值的具体组成和计算逻辑。奥地利数据保护局将此案提交给维也纳行政法院，后者最终将几个问题提交给欧洲法院，要求就信息权的范围和与评分程序相关的个人数据的定义作出初步裁决。

欧洲法院的裁决现在特别表明，关于在自动化决策的情况下提供信息的义务（GDPR 第 15（1）（h）条与 GDPR 第 22（1）条结合），数据主体有权获得用于计算其信用状况的程序和原则的具体、透明和易于理解的解释。

欧洲法院在其判决中指出，“[…] 在获得‘有关所涉及逻辑的有意义的信息’的权利背景下，数据主体可以要求控制者基于相关信息，以准确、透明、易懂和易于访问的形式，向其解释为获得特定结果（例如，信用档案）而对其个人数据进行自动处理时具体应用的程序和原则”（参见欧洲法院 2025 年 2 月 27 日，C-203/22 第 66 段）。

此外，抽象的解释和一般的原则是不够的。仅仅指定复杂的数学公式或自动决策过程的每个步骤的详细描述都是不够的。相反，美国商业传真列表 需要个别参考——信息必须与具体的个案相关，包括数据差异的可能影响（欧洲法院，2025 年 2 月 27 日，C-203/22 第 59-62 段）。

奥地利数据保护法（DSG）第 4 节第 6 款在这里发挥多大作用？
《数据保护法》第 4（6）条规定，“根据 GDPR 第 15 条 […] 的规定，数据主体相对于控制者的信息权利通常不存在，但前提是，不影响其他法定限制，如果提供此类信息会危及控制者或第三方的商业或贸易秘密。”
该规定导致这样的假设：如果需要保护控制者的商业秘密，奥地利数据主体的信息权利通常会受到限制。因此，邓白氏奥地利有限公司在本案中声称，某些信息，特别是信用评分的计算逻辑和确切数据来源，构成商业秘密，披露这些信息将危及其经济利益。

不过，欧洲法院就此澄清，虽然商业或贸易秘密的风险原则上可以作为合法利益发挥作用，但原则上并不排除GDPR第15条规定的数据主体的信息权。

相反，GDPR 第 15(1)(h) 条应解释为，在上述情况下，“控制者必须将这些据称受保护的信息传输给主管监督机构或法院，后者必须权衡相互竞争的权利和利益，以确定 GDPR 第 15 条规定的数据主体访问权的范围”（参见欧洲法院 2025 年 2 月 27 日，C-203/22 第 75、76 段）。

因此，欧洲法院认为，奥地利《欧盟通用程序法》第 4（6）款的规定违反了欧盟法律。

奥地利数据保护局已向奥地利联邦经济商会（WKO） （金融服务提供商协会）发出通函，回应欧洲法院的裁决，并履行了 GDPR 第 57（1）（d）条规定的义务（提高控制者和处理者的意识）。

结论与展望
鉴于这一决定，未来欧洲很可能会普遍采用高标准来规定《1989 年第 15 条》所规定的信息权范围。 GDPR 第 15（1）（h）条。当数据主体请求信息时，建议控制者提供所使用的具体程序的描述，并解释在自动决策的背景下处理哪些特定的个人数据以及如何处理。

尤其是奥地利的控制者，不能再像以前一样依赖 DSG 第 4（6）条的规定。该规定正式纳入奥地利数据保护法并有效。然而，由于欧盟法律的统一解释和优先性，奥地利当局和法院不再被允许适用这项违反欧盟法律的规定。这意味着对商业秘密的威胁本身不再意味着数据主体没有信息权。

总体而言，可以观察到国家标准与联盟法律不兼容的情况并不少见。例如，在奥地利，已经裁定《数据保护法》（DSG）第 12 和 13 条（关于图像处理的特殊规定）与 GDPR 不兼容，并且不适用，因为没有相应的开篇条款（请参阅奥地利共和国数据保护局 (dsb) 新闻通讯 1/2020以及奥地利联邦行政法院 (BVwG) 的决定或裁决（此处 和此处）。

欧洲法院也已经处理过德国国家员工数据保护法的适用性问题。我们上次在这里报道。