Automatyczne wyliczenie prawdopodobieństwa zdolności kredytowej osoby fizycznej a RODO

7 grudnia TSUE wydał wyrok o zgodności z RODO tworzenia profili scoringowych oceniających zdolność kredytową potencjalnych kredytobiorców. Sprawa, choć miała bezpośrednio niemiecki kontekst, niesie ze sobą skutki również dla Polski. O rozstrzygnięciu piszemy szerzej w programie LEX Prawo Europejskie.

Stan faktyczny

Sprawa, którą rozstrzygnął Trybunał unijny, dotyczy sporu pomiędzy skarżącą UQ, osobą fizyczną, a inspektorem ochrony danych i wolności informacji kraju związkowego Hesja, wspieranym przez firmę SCHUFA Holding AG (zwaną dalej "SCHUFA") jako interwenienta. SCHUFA to prywatna niemiecka agencja, która oblicza zdolność kredytową osób ubiegających się o pożyczki, kredyty hipoteczne, a nawet poszukujących domu na wynajem. W skrócie, zautomatyzowany system SCHUFA oblicza wiarygodność danej osoby na podstawie pewnych cech osoby, w oparciu o metodę matematyczno-statystyczną. Osobie, której to dotyczy, wydawany jest certyfikat z oceną oznaczoną wyłącznie jako "pozytywna" lub "negatywna". Sposób obliczania tego scoringu nie jest takiej osobie ujawniany.

W przedmiotowej sprawie SCHUFA przekazała bankowi wartość scoringu skarżącej, która posłużyła za podstawę odmowy udzielenia kredytu, o który wnioskowała. Skarżąca zwróciła się do spółki SCHUFA o usunięcie dotyczącego jej wpisu i udostępnienie jej odpowiednich danych, lecz SCHUFA przekazała jej jedynie właściwą wartość scoringu i, w sposób ogólny, zasady leżące u podstaw metody obliczania wartości scoringu, nie informując jej o konkretnych danych uwzględnionych w tym obliczeniu i o przypisywanym im w tym kontekście znaczeniu, twierdząc, że metoda obliczeniowa wchodzi w zakres tajemnicy handlowej.

Działania spółki SCHUFA a zautomatyzowane podejmowanie decyzji w indywidualnych przypadkach (art. 22 RODO) jako kwestia do rozstrzygnięcia przez TSUE

Ponieważ skarżąca stwierdziła, że nieuwzględnienie jej wniosku przez spółkę SCHUFA jest sprzeczne z systemem ochrony danych i złożyła skargę do niemieckiego sądu administracyjnego, ten wobec wątpliwości prawnych w tym zakresie wystąpił do TSUE z wnioskiem prejudycjalnym. W szczególności zwrócił on uwagę na problem zautomatyzowanego podejmowania decyzji w indywidualnych przypadkach, wskazując na art. 22 RODO, który ma na celu ochronę osób przed ryzykiem związanym z opartą wyłącznie na automatycznych procesach formą podejmowania decyzji.

Wyrok

W swoim wyroku TSUE orzekł między innymi, że ocenianie zdolności kredytowej na podstawie przyporządkowania danej osoby do określonej grupy stanowi "zautomatyzowane podejmowanie decyzji w indywidualnych przypadkach" w rozumieniu art. 22 ust. 1 RODO. Jest to, zdaniem Trybunału, niedopuszczalne, jeżeli od wyników takiego profilowania zależy to, czy osobie tej zostanie udzielony kredyt.

Z wyroku, jak podkreśla autor jego omówienia w LEX Prawo Europejskie - Tomasz Partyk, wynika, że przyjęcie decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu jest dozwolone wyłącznie, gdy decyzja ta jest niezbędna do zawarcia lub wykonania umowy między osobą, której dane dotyczą, a administratorem, jeżeli jest ona dozwolona w prawie Unii lub w prawie państwa członkowskiego, któremu podlega administrator, lub jeżeli opiera się ona na wyraźnej zgodzie osoby, której dane dotyczą. Co więcej, w przypadku zautomatyzowanego podejmowania decyzji, o którym mowa w art. 22 ust. 1 RODO administrator podlega dodatkowym obowiązkom informacyjnym. Ponadto osoba, której dane dotyczą, korzysta z prawa uzyskania od administratora "istotnych informacji o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą". Zatem prawo krajowe, które zezwala na zautomatyzowane podejmowanie decyzji w indywidualnych przypadkach, powinno przewidywać odpowiednie środki ochrony praw i wolności oraz uzasadnionych interesów osoby, której dane dotyczą.

Więcej o wyroku i jego znaczeniu dla obrotu prawnego w Polsce możesz przeczytać w LEX Prawo Europejskie:

• Tomasz Partyk, Profilowanie klientów banku może naruszać RODO. Omówienie wyroku TS z dnia 7 grudnia 2023 r., C-634/21 (SCHUFA Holding).

Tagi:
• LEX Prawo Europejskie