SCHUFA Holding (Scoring) (HvJ EU, C-634/21) – Privacyregels omtrent volledig geautomatiseerd inschatten van kredietwaardigheid aangescherpt

1. Je vraagt een lening aan, maar krijgt deze niet. Er is namelijk besloten dat je waarschijnlijk onvoldoende ‘kredietwaardig’ bent: de kans dat de lening niet zal worden terugbetaald lijkt te groot. Deze conclusie blijkt de leningverstrekker hoofdzakelijk te hebben gebaseerd op een ‘waarschijnlijkheidswaarde’ die zij heeft ontvangen van een kredietinformatiebureau. Dit soort bureaus verzamelen grote hoeveelheden (persoons)gegevens uit verschillende bronnen. Vervolgens laten deze bureaus een systeem op basis van die data voorspellen hoe waarschijnlijk het is dat iemand kredietwaardig is. De voorspelling wordt in de vorm van een waarschijnlijkheidswaarde verstrekt aan contractuele partners, die de waarde vervolgens gebruiken bij hun besluitvorming. Als bij weigering van de lening blijkt dat jij een negatieve uitkomst had, wil je uiteraard weten hoe die uitkomst tot stand is gekomen. Dat blijkt lastig. De leningverstrekker heeft die informatie niet en het kredietinformatiebureau wil het niet geven vanwege haar zakengeheim. Jij eindigt met lege handen: geen lening, maar ook geen nuttige informatie over de weigering daarvan en daarmee een moeilijke positie om je tegen het besluit te verzetten. In het geding dat aanleiding heeft gegeven voor de uitspraak van het Hof van Justitie die in deze annotatie centraal staat, was de verzoekster in een vergelijkbare situatie terecht gekomen.

Aanleiding

2. Voor de verzoekster in het geding is het namelijk ook begonnen met de weigering van een lening. De waarschijnlijkheidswaarde die hier een rol in heeft gespeeld blijkt vastgesteld door het kredietinformatiebureau SCHUFA Holding AG (SCHUFA). Als verzoekster daar aanklopt, krijgt zij enkel te horen wat haar waarde is (namelijk 85,96%) en in algemene bewoordingen hoe zo’n berekening werkt. Het blijft voor haar onbekend welke informatie er is meegenomen in die berekening en hoe deze informatie is gewogen. Verzoekster had meer verwacht toen zij SCHUFA om inzage in haar persoonsgegevens en verwijdering van onjuiste gegevens verzocht.[1] Deze beperkte reactie van SCHUFA maakt volgens verzoekster inbreuk op het gegevensbeschermingsrecht. Uit de Algemene verordening gegevensbescherming (AVG)[2] volgt namelijk op welke informatie zij recht heeft. Dit hangt onder meer af van de vraag of het vaststellen van haar waarschijnlijkheidswaarde door SCHUFA een vorm van uitsluitend geautomatiseerde besluitvorming is.[3] Verzoekster meent dat zij onvoldoende informatie heeft gekregen. Ze klaagt dan ook bij de bevoegde toezichthouder en wil dat zij iets doen aan haar situatie door SCHUFA te gelasten haar inzage- en verwijderverzoek naar behoren in te willigen. De betreffende toezichthouder ziet echter onvoldoende bewijs dat het gegevensbeschermingsrecht is overtreden en besluit niet handhavend op te treden.[4] Tegen dit besluit van de toezichthouder gaat verzoekster in beroep bij de Duitse bestuursrechter.[5]

Is het vaststellen van de waarschijnlijkheidswaarde uitsluitend geautomatiseerde besluitvorming?

3. Het gaat verzoekster dus met name om informatie over de onderliggende logica van haar waarschijnlijkheidswaarde en de reikwijdte en gevolgen van de gegevensverwerkingen die zijn uitgevoerd om die waarde te berekenen.[6] SCHUFA is echter alleen verplicht om dergelijke informatie te verstrekken als het vaststellen van haar waarschijnlijkheidswaarde wordt gezien als uitsluitend geautomatiseerde besluitvorming.[7] Ingevolge artikel 22 AVG moet het vaststellen van de waarde daarvoor zijn aan te merken als een besluit, dat uitsluitend is gebaseerd op een geautomatiseerde verwerking, en waaraan voor verzoekster rechtsgevolgen zijn verbonden of haar anderszins in aanmerkelijke mate treft.[8] De Duitse bestuursrechter twijfelt of de waarschijnlijkheidswaarde als zodanig kan worden aangemerkt en legt het vraagstuk voor aan het Hof van Justitie met een verzoek om een prejudiciële beslissing.[9]

4. De worsteling van de bestuursrechter is met name gelegen in het feit dat de uiteindelijke besluitvorming plaatsvindt bij derden zoals de leningverstrekker. Daar kiest een medewerker er immers voor om verzoekster geen lening te verstrekken. SCHUFA stelt dan ook dat zij enkel op geautomatiseerde wijze voorbereidend werk doet voor haar contractuele partners en vervolgens de waarschijnlijkheidswaarde zonder enige aanbeveling of commentaar (ten aanzien van de besluitvorming) aan hen verstrekt. Hun dienstverlening zou helemaal geen besluitvorming behelzen en artikel 22 AVG zou geen rol spelen.[10] Uit de praktijk blijkt volgens de verwijzende rechter echter dat contractuele partners van kredietinformatiebureaus hun besluit vaak hoofdzakelijk van de waarschijnlijkheidswaarde laten afhangen. Bij een negatieve waarde zou dit zelfs in bijna alle gevallen tot een afwijzend besluit leiden.[11] Gelet op de impact die deze automatisch bepaalde waarde heeft op de besluitvorming, vraagt de verwijzende rechter zich af of in dergelijke situaties het vaststellen van de waarschijnlijkheidswaarde niet al een besluit is als bedoeld in artikel 22 AVG.[12]

5. Om deze vraag te beantwoorden staat het Hof eerst stil bij het begrip ‘besluit’ in de zin van artikel 22 AVG, dat volgens het Hof ruim moet worden opgevat. Het kan om allerlei soorten handelingen gaan, mits deze handelingen een persoon op zijn minst in aanmerkelijke mate treffen.[13] Volgens het Hof is daarvan sprake wanneer de waarschijnlijkheidswaarde een beslissende rol speelt bij de uiteindelijke besluitvorming door een derde. De handelswijze van deze derde moet hoofdzakelijk door deze waarde worden bepaald.[14] Daarnaast dient dit besluit uitsluitend te zijn gebaseerd op een geautomatiseerde verwerking, dus zonder menselijke tussenkomst. Het kan hierbij gaan om elke vorm van een geautomatiseerde verwerking, waaronder profilering. Van deze laatste verwerkingsactiviteit is hier sprake. SCHUFA evalueert namelijk op geautomatiseerde wijze aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van iemand met als doel om te voorspellen of die persoon het vermogen heeft om in de toekomst een lening af te lossen.[15]

6. Het Hof concludeert vervolgens dat de activiteiten van een kredietinformatiebureau als SCHUFA onder de reikwijdte van artikel 22 AVG vallen wanneer: (1) het gaat om een waarschijnlijkheidswaarde die op de persoonsgegevens van een persoon is gebaseerd en betrekking heeft op diens vermogen om in de toekomst betalingsverplichtingen na te komen, (2) deze waarde geautomatiseerd is vastgesteld, en (3) een derde aan wie deze waarde wordt verstrekt het besluit om met die persoon een contractuele relatie tot stand te brengen, uit te voeren of te beëindigen hoofdzakelijk laat afhangen van die ontvangen waarschijnlijkheidswaarde.[16]  

7. Verder benadrukt het Hof dat het in beginsel verboden is om personen te onderwerpen aan volledig geautomatiseerde individuele besluitvorming, tenzij sprake is van een uitzonderingsgrond waarbij extra waarborgen worden getroffen. Artikel 22 AVG stelt dus een ‘fundamenteel verbod’ in.[17] Vervolgens zet het Hof uiteen op welke drie manieren dit verbod kan worden doorbroken. De besluitvorming kan ten eerste nodig zijn voor de uitvoering van een overeenkomst met de persoon ten aanzien van wie de waarschijnlijkheidswaarde wordt berekend. Daarnaast kan deze persoon ook uitdrukkelijk toestemming hebben gegeven voor het vaststellen van de waarde. Tot slot kan dergelijke besluitvorming zijn toegestaan bij wet.[18] Daarnaast moeten passende waarborgen worden getroffen, die bijvoorbeeld menselijke tussenkomst, het kenbaar maken van standpunten en aanvechten van het besluit mogelijk maken.[19] Daarbij moet ook worden gelet op het eventuele verwerken van bijzondere categorieën van persoonsgegevens, wat slechts onder strikte voorwaarden mogelijk is.[20] Naast deze hogere rechtmatigheidseisen gelden er ook extra informatieverplichtingen. Al bij verzameling van de persoonsgegevens en vervolgens bij een verzoek om inzage moet duidelijk worden gemaakt dat sprake is van uitsluitend geautomatiseerde besluitvorming en moet “nuttige informatie [worden verstrekt] over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.”[21]

8. Deze verhoogde bescherming voor dit soort besluitvorming is volgens het Hof nodig gelet op de bijzondere risico’s die het met zich mee kan brengen voor de personen waarover het besluit gaat. Denk bijvoorbeeld aan volledig geautomatiseerde besluitvorming op basis van profilering (zonder menselijke tussenkomst) die discriminerende gevolgen blijkt te hebben.[22] Het Hof kijkt voor het beantwoorden van de vraag dus niet alleen naar de bewoording van artikel 22 AVG, maar ook naar de beoogde bescherming en daarmee het doel van dit artikel. Gelet op dit doel zou er volgens het Hof een leemte in de rechtsbescherming ontstaan, wanneer een waarschijnlijkheidswaarde, die op geheel geautomatiseerde wijze is bepaald en veel impact heeft op de uiteindelijke besluitvorming, niet hoeft te voldoen aan de extra rechtmatigheids- en transparantievereisten in artikel 22 AVG.[23]

Gevolgen voor de praktijk

9. Het is de vraag of die leemte in de rechtsbescherming met deze uitspraak helemaal is ingevuld. Zo lijkt de handhaving nog een uitdaging. Niet altijd zal goed zijn vast te stellen dat een waarschijnlijkheidswaarde doorslaggevend is geweest in de genomen beslissing door een medewerker van bijvoorbeeld een leningverstrekker. De verwijzende rechter leunt op de bevinding dat een negatieve waarde in bijna alle gevallen leidt tot weigering, maar is dit voldoende bewijs?

10. Daarnaast zal nog moeten blijken of personen zoals verzoekster na deze uitspraak wel de informatie krijgen die zij nodig hebben om een vastgestelde waarde te controleren of zich ertegen te verzetten. Het is namelijk nog onduidelijk op hoeveel informatie deze personen precies recht hebben en wanneer de informatie voldoende ‘nuttig’ is. Dit vraagstuk ligt momenteel voor bij het Hof in een andere zaak.[24] Hierbij botsen er verschillende belangen en fundamentele rechten, wat ook terug te zien is in de AVG. Zo bepaalt de AVG dat het recht op inzage geen afbreuk mag doen aan de rechten en vrijheden van anderen, waaronder het zakengeheim en recht op intellectueel eigendom. Aangezien dit er ook weer niet tot toe mag leiden dat helemaal geen informatie wordt verstrekt, zal er dus een balans moeten worden gevonden.[25]

11. Voor kredietinformatiebureaus is deze uitspraak op zijn zachtst gezegd niet handig. Zo zal het doorbreken van het verbod moeilijk worden. Er is niet vaak sprake van een overeenkomst met de personen van wie zij persoonsgegevens verwerken en ook lijkt het vragen van uitdrukkelijke toestemming lastig te organiseren gelet op de manier waarop zij informatie verzamelen. In Nederland is het vaststellen van waarschijnlijkheidswaardes door kredietinformatiebureaus tot dusver ook nog niet geregeld bij wet. Hoewel de Nederlandse wetgever gebruik heeft gemaakt van de ruimte om het verwerkingsverbod met een nationale regeling te doorbreken, kan een kredietinformatiebureau van deze huidige regeling geen gebruik maken.[26]

12. Door de uitspraak van het Hof is het voor deze bureaus dus belangrijk geworden hoe zwaar hun contractuele partners leunen op de waarschijnlijkheidswaarde en in hoeverre deze partners autonoom beslissingen nemen. Daarmee zijn kredietbureaus afhankelijk geworden van het gedrag van hun contractuele partners voor de vraag of artikel 22 AVG op hun activiteiten van toepassing is en of er aanvullende rechtmatigheids- en transparantievereisten gelden. De overeenkomsten zullen dus waarschijnlijk flink worden aangescherpt. Het roept ook de vraag op in hoeverre deze contractuele partners zelf rekening moeten houden met artikel 22 AVG. Hoewel een mens de uiteindelijke beslissing neemt, is het de vraag of daarbij sprake is van daadwerkelijke en zinvolle menselijke tussenkomst als deze beslissing hoofdzakelijk is gebaseerd op de waarschijnlijkheidswaarde.[27]

13. Met deze aanscherpingen van de regels in het kader van gegevensverwerkingen door kredietinformatiebureaus heeft het Hof weer een stap verder gezet in de effectieve bescherming van het fundamentele recht op gegevensbescherming zoals neergelegd in artikel 8 van het EU-Handvest. Hierdoor komen personen zoals verzoekster hopelijk minder vaak met lege handen te staan. Het zou nu makkelijker moeten zijn om erachter te komen waarom je niet als kredietwaardig werd ingeschat, waardoor je in staat bent om na te gaan of de conclusie terecht was en verzet mogelijk is. Om deze verdere bescherming ook echt te realiseren is wel meer duidelijkheid nodig over de mate van informatie die moet worden verstrekt en ligt er een belangrijke rol voor handhaving om te voorkomen dat oude praktijken worden voortgezet.

Mr. S.E. Huting
Docent/onderzoeker gegevensbescherming en privacyrecht aan de Open Universiteit

[1] SCHUFA Holding (Scoring), HvJ EU (EK) 7 december 2023, zaak C-634/21, ECLI:EU:C:2023:957, punt 14-16. Zie ook het verzoek om een prejudiciële beslissing ingediend door het Verwaltungsgericht Wiesbaden (Duitsland) op 15 oktober 2021 – OQ/Land Hessen (Zaak C-634/21), par. 1-2.

[2] Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming).

[3] Art. 15, eerste lid, onder h, AVG.

[4] SCHUFA Holding (Scoring), punt 17-18. Ingevolge art. 77, eerste lid, AVG kan de verzoekster een klacht indienen bij de bevoegde toezichthoudende autoriteit aangezien zij meent dat inbreuk wordt gemaakt op haar rechten op grond van de AVG. Uit art. 57, tweede lid, onder c, AVG volgt dat elke toezichthoudende autoriteit de bevoegdheid heeft om verwerkingsverantwoordelijken zoals SCHUFA te gelasten om verzoeken van betrokkenen tot uitoefening van rechten uit hoofde van de AVG in te willigen.

[5] SCHUFA Holding (Scoring), punt 19. Ingevolge art. 78, eerste lid, AVG kan verzoekster tegen een haar betreffend juridisch bindend besluit van een toezichthoudende autoriteit een doeltreffende voorziening in rechte instellen. Het besluit van een toezichthouder op haar klacht valt hieronder. Zie in dit kader ook SCHUFA Holding (Scoring), punt 33.

[6] Verzoek om een prejudiciële beslissing ingediend door het Verwaltungsgericht Wiesbaden (Duitsland) op 15 oktober 2021 – OQ/Land Hessen (Zaak C-634/21), par. 2.

[7] Art. 15, eerste lid, onder h, AVG.

[8] Art. 22, eerste lid, AVG. Het Hof noemt ook deze drie cumulatieve voorwaarden. Zie SCHUFA Holding (Scoring), punt 43.

[9] SCHUFA Holding (Scoring), punt 20-27.

[10] Verzoek om een prejudiciële beslissing ingediend door het Verwaltungsgericht Wiesbaden (Duitsland) op 15 oktober 2021 – OQ/Land Hessen (Zaak C-634/21), par. 2, 22.

[11] Verzoek om een prejudiciële beslissing ingediend door het Verwaltungsgericht Wiesbaden (Duitsland) op 15 oktober 2021 – OQ/Land Hessen (Zaak C-634/21), par. 25.

[12] Verzoek om een prejudiciële beslissing ingediend door het Verwaltungsgericht Wiesbaden (Duitsland) op 15 oktober 2021 – OQ/Land Hessen (Zaak C-634/21), par. 21, 24.

[13] SCHUFA Holding (Scoring), punt 44-46. Het Hof verwijst in dit kader ook naar ow. 71 AVG. Eerder gaf de Nederlandse wetgever in het kader van de uitvoeringswet AVG (UAVG) ook al een ruime uitleg aan dit begrip. Het zou verder gaan dan het besluitbegrip in de zin van de Algemene wet bestuursrecht (Awb) en ook privaatrechtelijke rechtshandelingen kunnen betreffen. Zie Kamerstukken II 2017/18, 34851, nr. 3, p. 120. Het Hof lijkt deze benadering nu te bevestigen.

[14] SCHUFA Holding (Scoring), punt 48-50.

[15] SCHUFA Holding (Scoring), punt 47. Zie voor de definitie van profilering in de zin van de AVG, art. 4, aanhef onder 4, AVG.

[16] SCHUFA Holding (Scoring), punt 75.

[17] SCHUFA Holding (Scoring), punt 52.

[18] SCHUFA Holding (Scoring), punt 53. Zie voor de uitzonderingsgronden art. 22, tweede lid, onder a-c, AVG.

[19] SCHUFA Holding (Scoring), punt 54. Zie voor deze vereisten art. 22, tweede lid, onder b, AVG en art. 22, derde lid, AVG.

[20] SCHUFA Holding (Scoring), punt 55. Zie art. 22, vierde lid, AVG.

[21] SCHUFA Holding (Scoring), punt 56. Zie art. 13, tweede lid, onder f, AVG, art. 14, tweede lid, onder g, AVG en art. 15, eerste lid, onder h, AVG.

[22] SCHUFA Holding (Scoring), punt 57-59. Zie ook ow. 71 AVG.

[23] SCHUFA Holding (Scoring), punt 61-64.

[24] Zie het verzoek om een prejudiciële beslissing, ingediend door het Verwaltungsgericht Wien (Oostenrijk) op 16 maart 2022 – CK (Zaak C-203/22).

[25] Art. 15, vierde lid, AVG en ow. 63 AVG. Er moet een balans worden gevonden tussen het fundamentele recht op de bescherming van persoonsgegevens (art. 8 EU-Handvest) en bijvoorbeeld het recht op intellectueel eigendom (art. 17 EU-Handvest). Zie hierover ook SCHUFA Holding (Scoring), A-G P. Pikamäe, 16 maart 2023, zaak C-634/21, ECLI:EU:C:2023:220, punt 53-58.

[26] Zie art. 40 UAVG. Deze uitzondering op het verwerkingsverbod is alleen van toepassing op geautomatiseerde besluitvorming die niet is gebaseerd op profilering en kredietinformatiebureaus maken daar wel gebruik van voor het vaststellen van de waarschijnlijkheidswaarde.

[27] Zie over het vereiste van daadwerkelijke en zinvolle menselijke tussenkomst ook EDPB Richtsnoeren inzake geautomatiseerde individuele besluitvorming en profilering voor de toepassing van Verordening (EU) 2016/679.