Stručná odpověď
Při posuzování úvěruschopnosti se v České republice uplatňují čtyři navazující vrstvy. Přímo použitelné , stanoví zásady zákonnosti, transparentnosti, účelového omezení, minimalizace, přesnosti, omezení uložení a zabezpečení, právní základy zpracování a práva člověka. , na GDPR navazuje a upravuje české institucionální a zvláštní otázky, zejména postavení Úřadu pro ochranu osobních údajů; není samostatnou náhradou GDPR.
, v § 78 a § 84 až 89 určuje, jaké údaje má poskytovatel získat, ověřit, uchovat a použít pro posouzení schopnosti splácet. § 88 upravuje databáze úvěrových závazků a omezuje jejich použití na vyhodnocení splácení. , v § 20z upravuje širší registry bonity, platební morálky a důvěryhodnosti, včetně účelu, rozsahu údajů, přístupu, doby uchování, opravy, blokace a označení sporného záznamu.
Právní titul se musí určit pro každou operaci zvlášť. To, že zákon dovoluje nebo vyžaduje posouzení úvěruschopnosti, neotevírá neomezené použití všech dostupných údajů ani jejich další prodej, profilování či uchování bez časového omezení.
Proč nestačí číst jen český zákon o osobních údajích
Zákon č. 110/2019 Sb. výslovně navazuje na přímo použitelné unijní nařízení. Jeho účelem je doplnit český rámec, nikoli přepsat všechny povinnosti správce a práva subjektu údajů.
„Tento zákon […] navazuje na přímo použitelný předpis Evropské unie a k naplnění práva každého na ochranu soukromí upravuje práva a povinnosti při zpracování osobních údajů.“
—
§ 2 až 5 potvrzují působnost GDPR a českého zákona pro evidované a automatizovaně zpracovávané osobní údaje. § 54 upravuje činnosti Úřadu pro ochranu osobních údajů, včetně auditu, výzev k vyjasnění nebo nápravě, upozornění na zamýšlené protiprávní zpracování a schvalování kodexů chování. Zvláštní ustanovení zákona pro policejní a bezpečnostní orgány nelze bez dalšího přenášet na soukromého věřitele.
Pro běžný soukromý úvěrový proces se proto začíná GDPR. Článek 5 vyžaduje zákonné, korektní a transparentní zpracování; údaje musí být přiměřené, relevantní, omezené na nezbytný rozsah, přesné a uchovávané jen po potřebnou dobu. Správce za dodržení zásad odpovídá a musí je umět doložit. Článek 6 pak vyžaduje konkrétní právní základ, například nezbytnost pro předsmluvní kroky, splnění právní povinnosti nebo oprávněný zájem po řádném poměření práv.
“Personal data shall be […] adequate, relevant and limited to what is necessary in relation to the purposes for which they are processed.”
—
Jde o zásadu minimalizace: úvěrové hodnocení není důvodem shromažďovat údaje „pro jistotu“. Kategorie, zdroj, časový rozsah a podrobnost musí mít vysvětlitelnou vazbu na konkrétní účel.
Co vyžaduje zákon o spotřebitelském úvěru
§ 84 zákona č. 257/2016 Sb. stanoví, že poskytovatel před posouzením sdělí, jaké informace a doklady potřebuje a do kdy. Požadavky musí být přiměřené a nezbytné. Spotřebitel má dodat úplné a pravdivé informace; poskytovatel je ověří způsobem přiměřeným situaci, případně s využitím automatizovaných modelů a nezávisle ověřitelných údajů.
§ 86 vyžaduje důkladné posouzení z nezbytných, spolehlivých, dostatečných a přiměřených informací. Zákon výslovně pracuje s příjmy, výdaji, majetkem, závazky a způsobem plnění dosavadních dluhů. Tyto požadavky vysvětlují účel sběru, ale rozsah zpracování musí stále obstát podle GDPR.
§ 78 nařizuje pořizovat a uchovávat záznamy v rozsahu nezbytném k hodnověrnému doložení splnění zákonných povinností. Nejde o povolení uchovávat celý klientský profil bez konce. Doba a obsah záznamu se musí odvodit od konkrétní zákonné povinnosti, účelu, promlčecích a dohledových potřeb a práv subjektu údajů.
Jak fungují databáze podle § 88
§ 88 zákona o spotřebitelském úvěru dovoluje oprávněným poskytovatelům vzájemně sdílet údaje o dluzích vypovídající o úvěruschopnosti prostřednictvím databáze splňující zákonné podmínky. Správce databáze musí zachovávat mlčenlivost, chránit údaje před zneužitím, zveřejnit podmínky přístupu a umožnit rovný přístup oprávněným poskytovatelům z jiných členských států EU.
„Poskytovatel může údaje o spotřebiteli získané prostřednictvím databáze […] využít výhradně pro vyhodnocení předpokladů řádného splácení jeho dluhů.“
—
Účel je tedy úzký. Poskytovatel má s databázovými údaji zacházet, jako by je získal přímo od spotřebitele, a podle § 88 odst. 3 jej informovat v souladu s právem ochrany osobních údajů o záměru v databázi hledat. Pokud je žádost zamítnuta kvůli databázi nebo automatizovanému výsledku, § 89 ukládá vyrozumět spotřebitele o výsledku a použité databázi.
Co navíc upravuje § 20z zákona o ochraně spotřebitele
§ 20z zákona č. 634/1992 Sb. vytváří zvláštní rámec pro informační databáze o bonitě, platební morálce a důvěryhodnosti. Týká se prodávajících, kterým vznikají pohledávky z úvěrů nebo jiné dlouhodobé či opakované pohledávky, a je tedy širší než jen poskytovatelé spotřebitelského úvěru.
Zákon dovoluje evidovat identifikační údaje, skutečné i potenciální finanční závazky, časové určení a zdroj zápisu. Uhrazený dluh po splatnosti musí být doplněn údajem, zda a kdy byl splněn. Požadavek na informaci musí souviset s konkrétním obchodním případem. U registru, který zahrnuje bezproblémové a potenciální závazky, je pro získání informace vždy vyžadován souhlas spotřebitele; spotřebitel může proti evidenci těchto údajů písemně vznést nesouhlas.
Zvláštní jsou i retenční pravidla. Údaje o závazku lze zpracovávat po dobu jeho trvání a tři roky po splacení. U jiného zániku, promlčení nebo osvobození od placení běží nejvýše tříletá lhůta od příslušné události. Pokud smlouva uzavřena nebyla, lze údaje zpracovávat nejvýše tři měsíce. Anonymizované statistické údaje a některé doklady mohou mít odlišný režim, musí však skutečně odpovídat zákonnému účelu.
§ 20z odst. 13 až 15 dává spotřebiteli právo na výpis, opravu a blokaci údaje, o jehož správnosti se vede nevyřešený spor. Je-li spor před soudem, správním orgánem, rozhodcem nebo orgánem mimosoudního řešení, lze požadovat poznámku o spornosti.
„Prodávající nebo provozovatel […] je povinen opravit nepřesné nebo nesprávné údaje v registru […]. Pokud žádost […] není vyřešena bezprostředně, […] údaje dotčené žádostí […] do vyřešení žádosti spotřebitele blokuje.“
—
Co řekl Ústavní soud k registrům bez souhlasu
Plénum Ústavního soudu v zamítlo návrhy na zrušení části § 20z odst. 1, která vymezuje provozovatele registru a dovoluje určitý režim bez souhlasu. Soud uznal, že jde o zásah do informačního sebeurčení, ale poměřoval jej s ochranou spotřebitelů, předcházením předlužování a oprávněnými zájmy prodávajících. Výsledek proto nelze číst jako obecné potvrzení libovolného úvěrového registru.
„Údaje mohou být zpracovávány pouze způsobem, který je výslovně stanoven v jednotlivých ustanoveních § 20z zákona o ochraně spotřebitele.“
—
Právě účelové, přístupové, retenční, opravné a bezpečnostní záruky byly pro posouzení významné. Nález neodstraňuje povinnost dodržet GDPR ani neřeší každou pozdější podobu profilování.
Automatizované hodnocení a práva člověka
GDPR čl. 13 až 16 vyžaduje informace o účelu, právním základu, příjemcích, době uložení a právech, umožňuje přístup k údajům a jejich opravu. Článek 18 upravuje omezení zpracování při sporu o přesnost a článek 21 námitku proti zpracování založenému na oprávněném nebo veřejném zájmu.
Článek 22 se uplatní na rozhodnutí založené výlučně na automatizovaném zpracování, které má právní nebo obdobně významný účinek. Výjimka pro nezbytnost smlouvy, zákonné povolení nebo výslovný souhlas není volná licence: musí být splněny podmínky a vhodné záruky. U smluvní a souhlasové výjimky GDPR výslovně požaduje alespoň možnost lidského zásahu, vyjádření názoru a napadení rozhodnutí.
Praktický kontrolní rámec
U každého datového prvku je třeba zaznamenat účel, právní titul, zdroj, nezbytnost, přesnost, dobu uchování a příjemce. Systém musí odlišit žádost, existující závazek, prodlení, splacení, zánik, promlčení a probíhající spor. Jmenná shoda bez dalšího identifikátoru nemá být vydávána za ověřenou totožnost. Automatizované skóre musí zůstat vysvětlitelné ve vztahu k vstupům a nesmí překrýt právo na opravu nebo omezení.
Souhlas není univerzálním řešením. Někdy právní titul plyne z právní povinnosti nebo oprávněného zájmu, jindy zákon souhlas výslovně vyžaduje. Rozhodující je přesná operace: získání, zápis, vyhledání, předání, vytvoření modelu, rozhodnutí, uchování a oprava mohou mít rozdílné právní hodnocení.
Závěr
Český rámec spojuje GDPR a zákon č. 110/2019 Sb. se zvláštními pravidly zákonů č. 257/2016 Sb. a 634/1992 Sb. Úvěruschopnost vyžaduje dostatečné a ověřené informace, ale současně účelové omezení, minimalizaci, přesnost, transparentnost a opravné mechanismy. Zákonné oprávnění použít databázi platí jen v jeho přesných mezích; samo neospravedlňuje další použití, neomezené uchování ani čistě automatizované zamítnutí bez příslušných záruk.
Zdroje
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.