GA: automatiserte avslag på betalingsvalg kan bryte GDPR-forbudet

Generaladvokat Laila Medina har foreslått at det å nekte en kunde valget mellom faktura- eller avdragsbetaling utelukkende på grunnlag av en automatisert kredittverdighetsvurdering kan falle inn under GDPR-forbudet mot utelukkende automatiserte beslutninger — men bare der avslaget er egnet til å hindre at kjøpekontrakten overhodet inngåsEuropa. I sin forslag til avgjørelse av 15. oktober 2026 i Case C-568/25, etter en foreleggelse fra Oberster Gerichtshof (Supreme Court, Austria), foreslår hun svar på tre spørsmål om Article 22(1) og Article 22(2)(a) i Regulation (EU) 2016/679; domstolen selv har ennå ikke avsagt domEuropa.

Tvisten gjelder postordreforetaket Universal Versand, som mottar titusenvis av østerrikske bestillinger i måneden, rundt 90 % av dem med delbetaling eller fakturavilkår. Før slike vilkår innvilges, foretar selskapet en automatisert soliditetssjekk som kombinerer intern misligholdssannsynlighetsskåring med — for nye kunder — et oppslag hos et eksternt kredittopplysningsforetak. Ukjente kunder avvises direkte; kjente kunder får et fargekodet signal, der rødt betyr automatisk avslag og gult en manuell databasesjekk, og avviste kunder kan be om manuell overprøving. Forbrukerorganisasjonen Verein für Konsumenteninformation hevder systematisk brudd på Article 22 GDPR; selskapet benekter vesentlige virkninger og påberoper seg kontraktsnødvendighet.

På det første spørsmålet foreslår generaladvokaten et betinget jaEuropa. Article 22(1) krever tre kumulative vilkår — en beslutning, utelukkende basert på automatisert behandling herunder profilering, med rettslige eller tilsvarende vesentlige virkninger — og bare det tredje er omtvistet. Om avslaget på slike vilkår oppfyller det, må den foreleggende domstol vurdere, veiledet av dommen i SCHUFA Holding (Scoring) (C-634/21): der ble en automatisk generert sannsynlighetsverdi ansett som en beslutning med vesentlig virkning fordi bankene la så stor vekt på den at lav skår nesten systematisk førte til avslag på lånet. Analogien avhenger delvis av om fakturabetalingskontrakter regnes som forbrukerkreditt — Directive 2008/48/EC Article 2(2)(f) kan unnta dem, selv om Østerrike sto fritt til å behandle dem som det —, men selv uten det kan kunder som ikke kan forhåndsbetale med de pålagte alternativene (kredittkort eller PayPal), overhodet ikke inngå kjøpet, på linje med et avslått lån.

For unntaket for kontraktsnødvendighet i Article 22(2)(a) foreslår forslaget den strenge totrinnstesten fra praksis om Article 6(1)(b)Europa: vurderingen må være objektivt uunnværlig for kontraktens hovedformål — her overdragelse av varer mot betaling, der tilbud om en egnet betalingsmåte sikrer oppfyllelse — uten noe mindre inngripende fungerende alternativ. Det krever påvist objektiv sammenheng mellom kontraktens formål og soliditetsvurderingen, og at opplysningene som samles inn, er objektivt egnede og strengt nødvendige for den etter dataminimeringsprinsippet i Article 5. Hvilke opplysninger som ble samlet inn, hvorfor, og deres egnethet må bevises av selskapet etter ansvarlighetsregelen i Article 5(2).

På det tredje spørsmålet krever unntaket at selve den automatiserte beslutningen — ikke bare en hvilken som helst beslutning — er nødvendigEuropa: den bestemte artikkelen (“the decision”) viser tilbake til den utelukkende automatiserte beslutningen i Article 22(1), bekreftet av fortalens punkt 71 og den strenge fortolkningen som tilkommer unntak. Kommersiell bekvemmelighet alene er ikke nok: ordrevolumer, kundenes forventning om øyeblikkelig svar ved nettutsjekk og besparelser for virksomheten teller bare hvis det objektivt påvises at de gjør automatisering uunnværlig — for eksempel der menneskelig overprøving ville være praktisk urealistisk gitt datavolumene. Et ventende digitalt omnibusforslag fra Kommisjonen som ville klargjøre dette punktet, kan ikke påvirke tolkningen, siden det ikke har trådt i kraft.

Rettsgrunnlag: Regulation (EU) 2016/679, Articles 4(4), 5, 6(1)(b) og 22; GA-forslag til avgjørelse av 15. oktober 2026 i Case C-568/25; dom av 7. desember 2023 i Case C-634/21.