Trybunał Sprawiedliwości: tak biura informacji kredytowej łamią RODO

Do sądu administracyjnego w Wiesbaden (Niemcy) trafiły skargi na odmowę komisarza ds. ochrony danych podjęcia działań przeciwko niektórym rodzajom działalności prywatnego biura informacji kredytowej SCHUFA, którego klientami są m.in. banki. Skarżący sprzeciwiają się tzw. scoringowi oraz przechowywaniu informacji dotyczących zwolnienia z pozostałej części długu przejętej z rejestrów publicznych.

Czytaj więcej

Dane osobowe

Zakaz profilowania także przez firmy prywatne. Stanowisko rzecznika TSUE

Rzecznik generalny TSUE twierdzi, że ocenianie zdolności kredytowej oparte na algorytmach narusza RODO.

Profilowanie kredytobiorcy

Scoring to matematyczna metoda statystyczna umożliwiająca, oparte na prawdopodobieństwie, ustalenie przyszłego zachowania kredytobiorcy.  Wynik scoringu wyrażony w punktach pokazuje, jak duże jest prawdopodobieństwo spłaty zobowiązania w kolejnych miesiącach – im wyższa punktacja, tym większe szanse na otrzymanie środków od banku. 

Informacje dotyczące zwolnienia z pozostałej części długu są przechowywane w niemieckim publicznym rejestrze upadłości przez sześć miesięcy, podczas gdy kodeks postępowania niemieckich biur informacji kredytowej przewiduje dla ich własnych baz danych okres przechowywania wynoszący trzy lata.

Niemiecki sąd administracyjny zwrócił się do Trybunału Sprawiedliwości o wyjaśnienie zakresu ochrony danych osobowych przewidzianej w ogólnym rozporządzeniu o ochronie danych (RODO).

Automat nie może decydować

W sprawie do scoringu Trybunał orzekł, że należy go uznać za „zautomatyzowane podejmowanie decyzji w indywidualnych przypadkach”, co do zasady jest zakazane przez RODO, o ile klienci SCHUFA, tacy jak banki, przypisują mu decydującą rolę przy udzielaniu kredytów.

- Wedle sądu administracyjnego w Wiesbaden sytuacja taka ma miejsce. Do sądu tego należy ocena, czy niemiecka federalna ustawa o ochronie danych zawiera, zgodnie z RODO, ważny wyjątek od tego zakazu. Jeżeli tak jest, sąd ten będzie musiał ponadto sprawdzić, czy spełnione są ogólne warunki przetwarzania danych przewidziane w RODO - orzekł TSUE.

Człowiek ważniejszy niż pieniądze

Co do przetwarzania informacji dotyczących zwolnienia z pozostałej części długu, Trybunał uznał za sprzeczne z RODO to, że prywatne biura przechowują takie dane dłużej niż publiczny rejestr upadłości. Zwolnienie z pozostałej części długu ma bowiem na celu umożliwienie zainteresowanej osobie ponownego uczestnictwa w życiu gospodarczym, a zatem ma dla niej egzystencjalne znaczenie. Tymczasem informacje te są zawsze wykorzystywane jako czynnik negatywny przy ocenie zdolności kredytowej danej osoby.

Niemiecki ustawodawca przewidział przechowywanie danych przez okres sześciu miesięcy. W jego ocenie po upływie tego okresu prawa i interesy osoby, której dane dotyczą, mają zatem pierwszeństwo przed prawem i interesem ogółu w zakresie dysponowania tą informacją. W zakresie, w jakim przechowywanie danych jest niezgodne z prawem, jak ma to miejsce po upływie sześciu miesięcy, osoba, której dane dotyczą, ma prawo do usunięcia tych danych, a biuro jest zobowiązane do ich usunięcia bez zbędnej zwłoki.

- Co się tyczy równoległego przechowywania takich informacji przez SCHUFA przez okres tych sześciu miesięcy, do sądu administracyjnego należy wyważenie wchodzących w grę interesów w celu dokonania oceny ich zgodności z prawem. Jeżeli sąd dojdzie do wniosku, że równoległe przechowywanie danych przez sześć miesięcy jest zgodne z prawem, osoba, której dane dotyczą, będzie miała jednak prawo sprzeciwić się przetwarzaniu jej danych oraz prawo do ich usunięcia, chyba że SCHUFA wykaże istnienie nadrzędnych prawnie uzasadnionych podstaw  - wskazał TSUE.

Trybunał podkreślił też, że sądy krajowe powinny mieć możliwość sprawowania pełnej kontroli nad każdą prawnie wiążącą decyzją organu nadzorczego ds. ochrony danych.