Beslissing van de rechtbank Wiesbaden over het toezichtrechtelijk optreden tegen de Schufa
De bestuursrechtspraak heeft zich tot nu toe herhaaldelijk moeten bezighouden met de omvang van de informatieplicht van kredietbureaus tegenover betrokkenen. Recent heeft de rechtbank Wiesbaden zich in haar beslissing van 29 december 2023 (zaaknr. 6 K 788/20.WI) beziggehouden met de vraag in hoeverre het gegevensbeschermingsrecht toestaat dat de Schufa Holding AG bij het verstrekken van score-informatie wel aangeeft welke factoren voor de berekening zijn gebruikt, maar de exacte wegingen niet bekendmaakt.
Achtergrond van de procedure
Aanleiding voor de procedure was het optreden van de gegevensbeschermingsautoriteit, die bezwaar maakte tegen de wijze waarop de Schufa aan betrokkenen informatie verstrekte. Volgens de autoriteit werden de rechten op informatie volgens art. 15 AVG niet voldoende gewaarborgd. De autoriteit klaagde er met name over dat de mededelingen van de Schufa over de scorewaarden de onderliggende berekeningsgrondslagen slechts in algemene vorm uiteenzetten, zodat betrokkenen de individuele besluitvorming niet konden nachvollgen.
Verplichtingen voor de verwerker volgens de AVG
Omvang van de informatieplicht
De procedure draaide in hoofdzaak om de juiste omvang van de informatieplicht op grond van art. 15 lid 1 en lid 2 AVG. Volgens deze bepaling hebben betrokkenen recht op volledige informatie over de verwerkte persoonsgegevens, inclusief “relevante informatie over de onderliggende logica” van geautomatiseerde besluitvorming.
Openbaarmaking van de weegfactoren
Schufa gaf bij het verstrekken van score-informatie aan betrokkenen aan welke typen gegevens waren meegenomen bij het bepalen van hun score en lichtte de algemene berekeningsfactoren toe. De exacte weging van afzonderlijke gegevenspunten werd echter – met een beroep op bedrijfsgeheimen – niet genoemd. De gegevensbeschermingsautoriteit eiste daarnaast dat ook deze informatie concreet zou worden meegedeeld.
Beoordeling van de bestuursrechter
Afweging tussen het transparantiebeginsel en de bescherming van bedrijfsgeheimen
De rechtbank Wiesbaden kwam tot het oordeel dat de door Schufa gekozen werkwijze in principe voldoet aan de eisen van het gegevensbeschermingsrecht. Met name stelde de rechtbank vast dat het doel van transparantie kan worden bereikt door het meedelen van relevante gegevenssoorten en algemene werkwijzen, zonder het gerechtvaardigde belang van het bedrijf bij de bescherming van haar bedrijfsgeheimen onevenredig te beperken.
Geen verdergaand recht op informatie over details van de weging
De rechtbank zag als resultaat geen verplichting om verdergaande, gedetailleerde inzage te geven in de afzonderlijke weegfactoren of wiskundige modellen, naast de reeds verstrekte informatie. Hierdoor zou de concurrentiekracht van het kredietbureau worden beperkt, zonder dat de informatie voor de betrokkene wezenlijk wordt vergroot.
Betekenis voor betrokken ondernemingen en verantwoordelijken
De beslissing van de rechtbank Wiesbaden is van groot belang voor de omgang van kredietbureaus en andere gegevensverwerkende instanties met informatieverzoeken volgens de AVG. De motivering van het vonnis onderstreept dat de bescherming van bedrijfsgeheimen bij de vormgeving van informatieplichten ook in de toekomst wordt meegenomen. Toch moeten betrokken bedrijven ervoor zorgen dat zij relevante informatie over de werking van hun geautomatiseerde besluitvormingsprocessen verstrekken.
Er dient rekening mee te worden gehouden dat momenteel rechtsmiddelen mogelijk zijn tegen deze beslissing (stand van zaken volgens VG Wiesbaden, 6 K 788/20.WI), zodat de rechtspositie nog onderwerp kan zijn van verdere gerechtelijke duidelijkheid. De onschuldveronderstelling geldt daarom ten aanzien van alle betrokkenen.
Discussiebehoefte en juridische duiding
Voor verantwoordelijke ondernemingen blijft er op basis van deze uitspraak een zekere speelruimte hoe zij de verplichtingen uit art. 15 AVG met betrekking tot geautomatiseerde besluitvorming nakomen. Toch blijft de concrete uitwerking een complex en dynamisch rechtsgebied, dat juist in het licht van verdere rechterlijke uitspraken voortdurend moet worden geëvalueerd.
Wie gezien de complexiteit van het gegevensbeschermingsrecht een gedegen analyse van zijn processen in verband met informatie- en inzagerechten onder de Algemene Verordening Gegevensbescherming wenst, vindt aanvullende informatie en individueel juridisch advies op het gebied van privacy bij MTR Legal.
