Klient sklepu internetowego wybiera zapłatę przelewem po otrzymaniu towaru i po chwili widzi komunikat, że ta forma płatności jest dla niego niedostępna. Może zapłacić kartą kredytową albo przez PayPal, może też zrezygnować z zakupu. Nikt w sklepie nie przyglądał się jego zamówieniu. Odpowiedź wygenerował system na podstawie oceny prawdopodobieństwa, że klient nie zapłaci.
Właśnie taką sytuacją zajęła się rzeczniczka generalna Laila Medina w opinii przedstawionej 15 października 2026 r. w sprawie C-568/25 Verein für Konsumenteninformation przeciwko Universal Versand. Sześć dni później Komitet Stałych Przedstawicieli zatwierdził mandat negocjacyjny Rady UE w sprawie zmian RODO w ramach tzw. cyfrowego omnibusa i skreślił z proponowanego przez Komisję brzmienia art. 22 RODO zdanie, które dotyczyło tego samego problemu, choć jego sens zostawił w motywie. Piszę o obu dokumentach razem, bo odpowiadają na to samo pytanie: kiedy system może sam powiedzieć klientowi „nie”.
Sprawa, która wygląda na drobną
Universal Versand prowadzi sprzedaż wysyłkową w Austrii i otrzymuje kilkadziesiąt tysięcy zamówień miesięcznie. Około 90% z nich dotyczy płatności, którą opinia nazywa „niepewną”, czyli na raty albo na fakturę z odroczonym terminem. Zanim klient dostanie taką możliwość, spółka sprawdza jego zdolność kredytową w zautomatyzowanym procesie. Nowych klientów weryfikuje zewnętrzne biuro informacji kredytowej i gdy biuro klienta nie zna, płatność odroczona jest odrzucana. Klient znany biuru trafia do jednego z trzech wariantów oznaczonych kolorami, z których opinia opisuje dwa. Czerwony oznacza automatyczną odmowę, przy żółtym dane w bazie sprawdza pracownik spółki. Po automatycznej odmowie klient może zażądać ręcznej kontroli albo zakwestionować decyzję.
Austriackie stowarzyszenie konsumenckie uznało tę praktykę za systematyczne naruszenie art. 22 RODO, a Oberster Gerichtshof zadał Trybunałowi trzy pytania. Z perspektywy polskiego administratora najciekawsze jest to, że nie chodzi tu o odmowę kredytu w banku, tylko o zwykły wybór metody płatności w sklepie. W polskich sklepach internetowych dostęp do rat i płatności odroczonej również bywa uzależniony od automatycznej oceny klienta. Przeprowadza ją albo sam sklep z pomocą biura informacji kredytowej, albo zewnętrzny kredytodawca lub dostawca płatności odroczonych. Warto więc ustalić, kto w takim procesie podejmuje decyzję, i sprawdzić, czy oceniono ją pod kątem art. 22.
Kiedy odmowa metody płatności jest decyzją o istotnym skutku
Rzeczniczka sięga do wyroku w sprawie SCHUFA (Scoring) z 7 grudnia 2023 r. (C-634/21), w którym Trybunał uznał, że automatycznie wyliczona przez biuro informacji kredytowej wartość prawdopodobieństwa istotnie wpływa na osobę, jeżeli bank w decydującym stopniu się nią kieruje, a niewystarczająca wartość prowadzi w prawie wszystkich przypadkach do odmowy udzielenia kredytu. Proponuje odpowiedź, zgodnie z którą wyłączenie określonych metod płatności na podstawie wyłącznie zautomatyzowanej oceny wywołuje wobec klienta skutki prawne lub w podobny sposób istotnie na niego wpływa, „jeżeli może uniemożliwić zawarcie danej umowy sprzedaży”. Ocenę, czy tak jest, zostawia sądowi krajowemu.
Uważam to kryterium za rozsądne, bo nie każde ograniczenie w koszyku staje się decyzją z art. 22. Jest też wymagające. Administrator nie może z góry założyć, że klient, który wciąż może zapłacić kartą, niczego nie traci. Osoba, która nie ma ani karty kredytowej, ani konta PayPal, albo nie ma środków na koncie przed wypłatą, może realnie stracić możliwość zakupu. Sklep, który chce się bronić argumentem o alternatywnych metodach płatności, powinien wiedzieć, ilu klientów po odmowie rezygnuje z zamówienia. Ta liczba nie wyjaśni sama, dlaczego klient odszedł, ale bez niej trudno mi sobie wyobrazić przekonującą argumentację.
Niezbędność do zawarcia umowy oznacza więcej niż przydatność
Drugie pytanie dotyczy wyjątku z art. 22 ust. 2 lit. a, który pozwala na decyzję zautomatyzowaną, gdy jest ona niezbędna do zawarcia lub wykonania umowy. Rzeczniczka wiąże ten wyjątek z testem, który Trybunał stosuje do art. 6 ust. 1 lit. b RODO. Przetwarzanie musi być obiektywnie konieczne do realizacji głównego celu umowy i nie mogą istnieć mniej inwazyjne rozwiązania, które pozwoliłyby ten cel osiągnąć. Do tego dochodzi zasada minimalizacji. Opinia wskazuje, że do sądu krajowego należy zbadanie, czy wszystkie dane zbierane na potrzeby oceny są rzeczywiście niezbędne do oceny zdolności kredytowej.
Najbardziej praktyczne zdanie tej części dotyczy ciężaru dowodu. Rzeczniczka proponuje, by to sprzedawca wyjaśnił, jakie dane zebrał i dlaczego, i wykazał związek między celem umowy a zautomatyzowaną oceną. Odwołuje się przy tym do art. 5 ust. 2 RODO. Przy scoringu kupowanym od zewnętrznego dostawcy szczegółowa wiedza o danych wejściowych modelu leży po stronie dostawcy. W świetle tej opinii administrator powinien mieć własny opis tych danych i umieć go uzasadnić.
Niezbędna ma być automatyzacja, a nie samo rozstrzygnięcie
Trzecie pytanie ma w mojej ocenie największe znaczenie. Sąd odsyłający pyta w nim, czy art. 22 ust. 2 lit. a wymaga, by niezbędna była sama decyzja, czy jej zautomatyzowany charakter. Rzeczniczka przyjmuje drugie rozumienie. Słowo „decyzja” w tym przepisie odnosi się według niej do decyzji opisanej w ust. 1, czyli opartej wyłącznie na zautomatyzowanym przetwarzaniu, a potwierdza to motyw 71 RODO. W konsekwencji przedsiębiorca musi wykazać, że interwencja człowieka nie byłaby realną, mniej inwazyjną alternatywą.
Rzeczniczka nie wyklucza, że duża liczba zamówień i oczekiwanie klientów na natychmiastową odpowiedź mogą automatyzację uzasadnić. Przywołuje wytyczne Grupy Roboczej Art. 29 z 2017 r., według których decyzja zautomatyzowana może być niezbędna, gdy udział człowieka byłby niewykonalny ze względu na ilość danych. Zastrzega jednak, że wykazać to musi przedsiębiorstwo, i to na podstawie obiektywnych dowodów. Okoliczność, że takie przetwarzanie jest „jedynie użyteczne”, nie wystarcza. Trzeba też pokazać, że natychmiastowa odpowiedź co do metody płatności jest czynnikiem, od którego zależy, czy klient zawrze umowę właśnie z tym przedsiębiorstwem.
Zwracam uwagę na tę konstrukcję, bo argument skali, czyli „przy tej liczbie zamówień nie da się inaczej”, jest najbardziej naturalnym uzasadnieniem automatyzacji, a opinia stawia mu konkretne wymagania. Opinia wymaga obiektywnych dowodów, co w praktyce oznacza liczby: wolumen zamówień, udział przypadków granicznych oraz koszt i czas ręcznego przeglądu. Punkt odniesienia podsuwa sam spór. Universal Versand już teraz kieruje przypadki „żółte” do pracownika, więc zestawienie czasu ich obsługi z liczbą wszystkich odmów wydawanych automatycznie, nie tylko „czerwonych”, pozwoliłoby ocenić, czy ręczny przegląd odmów jest wykonalny. Ta logika ma też drugą stronę, którą łatwo przeoczyć: im mniej zamówień, tym trudniej wykazać, że automatyczna odmowa jest niezbędna. Nie czytam tego jako zakazu korzystania z systemu przez mniejsze firmy. Art. 22 obejmuje tylko decyzje oparte wyłącznie na zautomatyzowanym przetwarzaniu, więc system może dalej oceniać klientów, jeżeli odmowę realnie rozpatruje człowiek, a RODO przewiduje też wyjątek wyraźnej zgody z art. 22 ust. 2 lit. c.
Sześć dni później w Radzie UE
Komisja Europejska zaproponowała w listopadzie 2025 r. nowe brzmienie art. 22, w którym wyjątek umowny miał działać niezależnie od tego, czy decyzję można byłoby podjąć inaczej niż wyłącznie w sposób zautomatyzowany. Komisja powołała się na tę propozycję w postępowaniu przed Trybunałem. Rzeczniczka odpowiedziała, że wniosek, który nie wszedł w życie i nie został nawet zatwierdzony przez Parlament i Radę, nie może mieć żadnego znaczenia dla wykładni.
Mandat negocjacyjny Rady, zatwierdzony przez COREPER 21 października 2026 r., usuwa to zastrzeżenie z treści art. 22 i przywraca konstrukcję prawa do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, którą Komisja chciała zastąpić. Na tym zbieżność z opinią się kończy. W motywie 38 Rada zostawiła zdanie, że przy ocenie, czy decyzja jest niezbędna do zawarcia lub wykonania umowy, nie należy wymagać wykazania, że nie da się jej podjąć inaczej niż w sposób wyłącznie zautomatyzowany, a możliwość jej podjęcia przez człowieka nie stoi na przeszkodzie automatyzacji. Rzeczniczka tej tezy nie podziela. Czytam to jako sygnał, że spór o to, co ma być niezbędne, przeniesie się do trilogów. Opinia rzecznika generalnego nie wiąże przy tym Trybunału. Mandat Rady to stanowisko jednego ze współprawodawców, a Parlament Europejski nie przyjął jeszcze swojego, więc rozmowy trójstronne nawet się nie zaczęły. Nie zakładałbym ani tego, że złagodzenie art. 22 jest przesądzone, ani tego, że na pewno nie nastąpi.
Kredyt konsumencki od 20 listopada 2026 r.
Dla kredytodawców jest jeszcze trzecia data. Od 20 listopada 2026 r. państwa członkowskie mają stosować przepisy wdrażające dyrektywę 2023/2225 o umowach o kredyt konsumencki. Jej art. 18 ust. 8 nakazuje zapewnić konsumentowi prawo zażądania i uzyskania od kredytodawcy interwencji człowieka, gdy ocena zdolności kredytowej wykorzystuje zautomatyzowane przetwarzanie danych osobowych. Obejmuje ono prawo do jasnego i zrozumiałego wyjaśnienia oceny, w tym logiki i ryzyk uwzględnionych w toku zautomatyzowanego przetwarzania oraz jego znaczenia i wpływu na decyzję, prawo do przedstawienia stanowiska oraz prawo do żądania przeglądu oceny i decyzji o udzieleniu kredytu. Art. 18 ust. 3 wyklucza z oceny dane szczególnych kategorii, a sieci społecznościowe nie mogą służyć za zewnętrzne źródło informacji. Rzeczniczka zauważa, że dyrektywa nie ma zastosowania do sporu austriackiego ze względu na czas, a umowy takie jak te z austriackiego sporu mogą w ogóle wypaść z jej zakresu na podstawie art. 2 ust. 2 lit. h.
Polski projekt nowej ustawy o kredycie konsumenckim nie trafił do Sejmu. Według karty projektu w Rządowym Centrum Legislacji jego etapy nie zmieniały się od 12 czerwca 2026 r. Z perspektywy RODO brak ustawy zmienia mniej, niż mogłoby się wydawać. Art. 22 ust. 3 RODO już obecnie wymaga, by przy wyjątku umownym osoba miała prawo do interwencji człowieka, do wyrażenia stanowiska i do zakwestionowania decyzji, a art. 15 ust. 1 lit. h daje jej prawo do istotnych informacji o zasadach podejmowania takiej decyzji. Oba przepisy dotyczą jednak tylko decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, a dyrektywa obejmuje każdą ocenę zdolności kredytowej, w której takie przetwarzanie się pojawia. Kredytodawcom radziłbym przygotować się na ten szerszy zakres, nie czekając na ustawę.
Co zrobiłbym przed wyrokiem
Nie czekałbym na rozstrzygnięcie Trybunału, którego terminu nie znamy. W pierwszej kolejności przejrzałbym procesy, w których system bez udziału człowieka odmawia klientowi albo kandydatowi czegoś, od czego zależy zawarcie umowy lub korzystanie z usługi. Myślę o metodzie płatności, limicie, racie, dostępie do konta i odrzuceniu zgłoszenia w rekrutacji. Dla każdego z nich przeprowadziłbym test, który rzeczniczka stosuje do wyjątku umownego. Czy administrator potrafi liczbami wykazać, że udział człowieka nie jest realną alternatywą dla automatu, a nie tylko że automat działa szybciej i taniej? Jeżeli nie potrafi, a decyzja opiera się na wyjątku umownym, w mojej ocenie to pierwsza luka do uzupełnienia, ważniejsza niż poprawianie klauzuli informacyjnej, bo nawet staranna klauzula nie uczyni dopuszczalną decyzji, która nie spełnia przesłanek wyjątku.
Drugą kwestią jest realność ścieżki do człowieka. Wrześniowe wydanie newslettera omawiało karę dla Ubera, nałożoną przez holenderski organ nadzorczy między innymi dlatego, że w procesie blokowania kont kierowców nie występowała żadna ocena człowieka. Formularz „poproś o ręczną weryfikację”, który trafia do kolejki bez terminu i bez osoby uprawnionej do zmiany wyniku, nie jest interwencją człowieka w rozumieniu RODO.
Trzecia kwestia to dane wejściowe. Opinia łączy art. 22 z zasadą minimalizacji wprost, więc administrator powinien znać dane zasilające scoring i umieć uzasadnić każdą ich kategorię. Lista otrzymana od dostawcy, bez własnej oceny niezbędności, w mojej ocenie nie wystarcza. Odradzam też traktowanie modelu zewnętrznego biura jako czarnej skrzynki. Klient, który zażąda wyjaśnienia, zwróci się przede wszystkim do sklepu, bo to sklep odmówił mu metody płatności, a odesłanie do biura nie zwolni sprzedawcy z obowiązków administratora.
Sprawa Universal Versand dotyczy zwykłego koszyka w sklepie internetowym. Pokazuje jednak, że coraz trudniej ograniczyć art. 22 RODO do banków i spektakularnych przypadków algorytmicznego zarządzania pracą. Jeżeli Trybunał podzieli stanowisko rzeczniczki, pytanie „kto podjął tę decyzję” trzeba będzie umieć uczciwie postawić w każdym miejscu, w którym system mówi klientowi „nie”.
Źródła
- Opinia rzeczniczki generalnej Laili Mediny z 15 października 2026 r. w sprawie C-568/25
- Komunikat Rady UE z 21 października 2026 r. o mandacie negocjacyjnym
- Mandat negocjacyjny Rady, dokument ST 14756/26
- Dyrektywa (UE) 2023/2225 w sprawie umów o kredyt konsumencki
- Projekt ustawy o kredycie konsumenckim w RCL
Artykuł ukazał się w newsletterze AURACO (nr 10, listopad 2026). Autor: Piotr Janiszewski.
