事件经过。 奥地利一家移动运营商拒绝与一名客户签订每月费用为 €10 的合同，原因是 Dun & Bradstreet Austria 的自动化信用评估认为她的信用状况不足。奥地利一家法院作出终审判决，认定该公司未向她提供“有关所涉逻辑的有意义信息”，违反了《通用数据保护条例》。负责执行该判决的法院询问欧盟法院，这项义务在实践中具体要求什么。判决于 2025 年 2 月 27 日作出（欧盟法院新闻稿第 22/25 号）。
法院的意见。 数据控制者必须说明实际采用的程序和原则，使当事人能够理解使用了其哪些个人数据，以及这些数据是如何使用的。适当情况下，可以解释纳入考量的数据发生变化，在多大程度上会导致不同结果。仅仅告知算法，并非足够简明易懂的解释。如果数据控制者声称相关信息包含商业秘密或第三方数据，就必须向主管监管机构或法院提供这些信息，由其权衡相关利益，并决定当事人可以查阅多少信息。凡涉及商业秘密，一概排除查阅权的国内规则，与《通用数据保护条例》不相容。
背景。 这一裁决延续了 SCHUFA 案（C-634/21，2023 年 12 月）的判决。在该案中，法院认定，自动化评分本身可构成《通用数据保护条例》第 22 条所称的“自动化决策”。两项判决共同赋予了质疑自动化决策的权利以具体内涵：首先，评分适用相关规则；其次，当事人有权获得足以支持其提出异议的解释。
对公共行政的意义。 本案涉及一家私营公司，但同一《通用数据保护条例》条款也约束在福利、税务或移民事务中使用自动化风险评分的公共机构。从荷兰儿童保育津贴事件到 Robodebt，自动化行政的种种失灵，部分原因在于当事人无法了解自己为何被标记。以“哪些变化会改变结果”为核心的解释标准，比对模型本身的描述更贴近申诉人的实际需要。
后续观察重点。 国内法院和数据保护机构如何适用“理解并提出异议”标准；主管机构如何处理商业秘密主张；以及该标准与《欧盟人工智能法案》第 86 条之间的互动。该条赋予受某些高风险人工智能决策影响的人士一项独立的解释权，相关规则生效后即适用。