何が起きたか。 オーストリアの携帯電話事業者が、Dun & Bradstreet Austriaによる自動信用評価で信用力が不十分と判定されたことを理由に、月額10ユーロの契約を顧客に提供しなかった。オーストリアの裁判所は確定判決において、同社が自動化された決定に関与する「ロジックについて意味のある情報」を提供しなかったため、一般データ保護規則に違反したと認定した。この判決の執行を担当する裁判所は、この義務が実際に何を求めるのかについて、欧州司法裁判所に判断を求めた。判決は2025年2月27日に言い渡された（CJEUプレスリリース第22/25号）。
裁判所の判断。 管理者は、実際に適用された手順と原則を説明し、本人が自身のどの個人データが使われ、どのように使われたのかを理解できるようにしなければならない。考慮されたデータに変化があった場合に、結果がどの程度異なったかを説明することが適切な場合もある。アルゴリズムを伝えるだけでは、十分に簡潔で理解しやすい説明とはいえない。情報に営業秘密または第三者のデータが含まれると管理者が主張する場合、その情報を所管の監督機関または裁判所に提示しなければならず、これらの機関が利益を衡量し、本人にどこまで開示するかを決定する。営業秘密が問題となる場合に、一般的に情報へのアクセスを排除する国内規則は、GDPRと両立しない。
背景。 この判決はSCHUFA事件（C-634/21、2023年12月）を踏まえたものであり、同事件で裁判所は、自動スコアリング自体がGDPR第22条にいう「自動化された決定」に該当し得ると判示した。この2つの判決により、自動化された決定に異議を申し立てる権利が具体化された。第一に、スコアリングは規則の適用対象となる。第二に、本人には異議申立てを支え得る説明を受ける権利がある。
行政にとって重要な理由。 本件は民間企業に関するものだったが、給付、税務、移民行政で自動リスクスコアリングを用いる公的機関も、同じGDPRの規定に拘束される。オランダの児童手当不正受給疑惑事件からロボデットに至るまで、自動化された行政の失敗事例では、なぜ自分が要注意対象とされたのかを人々が知ることができなかった点が一因となっていた。結果を変えたであろう要素を軸にした説明基準は、モデルの説明よりも、申立人が必要とするものに近い。
今後の注目点。 国内裁判所やデータ保護当局が「理解し、異議を申し立てられる」基準をどう適用するか、当局が営業秘密の主張をどう扱うか、そして一定の高リスクAIの決定の影響を受ける人々に、関連規則の適用開始後、別個の説明を受ける権利を与えるEU AI法第86条との相互作用が注目される。