Stručná odpověď
Věřitel může při posouzení úvěruschopnosti nahlédnout do českého insolvenčního rejstříku, protože jde o veřejný informační systém a zákon o spotřebitelském úvěru dovoluje čerpat potřebné, spolehlivé a přiměřené informace z vnějších zdrojů. Záznam může být významný například pro zjištění probíhajícího řízení, rozhodnutí o úpadku, způsobu jeho řešení nebo výsledku skončeného řízení.
Veřejná dostupnost však není samostatnou výjimkou z GDPR ani povolením používat všechny dokumenty k libovolnému účelu. Věřitel musí určit právní základ a účel, omezit údaje na nezbytný rozsah, ověřit totožnost a aktuálnost, splnit informační povinnost a nastavit přiměřenou dobu uchování. U spotřebitelského úvěru je právní povinnost řádně posoudit úvěruschopnost důležitou součástí právního rámce; podle okolností mohou být relevantní také předsmluvní nezbytnost nebo oprávněný zájem. Konkrétní základ je nutné zdokumentovat, nikoli pouze označit zdroj za veřejný.
Samotné zahájení insolvenčního řízení navíc neznamená, že soud zjistil úpadek. Věřitel musí číst fázi, rozhodnutí a výsledek řízení, zohlednit možnost odmítnutí či zamítnutí návrhu a nepoužívat starý nebo nesprávně přiřazený záznam jako automatický důvod zamítnutí úvěru. Pokud rozhodnutí přijímá výhradně algoritmus s významným účinkem, přidávají se zvláštní pravidla GDPR pro automatizované rozhodování.
Proč je rejstřík pro věřitele relevantním zdrojem
Insolvenční rejstřík je informačním systémem veřejné správy spravovaným Ministerstvem spravedlnosti. Obsahuje seznam insolvenčních správců, seznam dlužníků a insolvenční spisy. Zákon výslovně nastavuje veřejný přístup s výjimkou chráněných údajů a písemností.
„Insolvenční rejstřík je veřejně přístupný, s výjimkou údajů, o kterých tak stanoví tento zákon. Každý má právo do něj nahlížet a pořizovat si z něj kopie a výpisy.“
—
Provozní podmínky eISIR vysvětlují, že účelem systému je zajistit maximální míru publicity insolvenčních řízení a umožnit sledovat jejich průběh. To objasňuje, proč lze údaje vyhledat a proč mohou být pro hodnocení schopnosti splácet relevantní. Neřeší to však samo o sobě právní titul následného zpracování v interním úvěrovém systému věřitele.
U spotřebitelského úvěru ukládá § 86 zákona č. 257/2016 Sb. věřiteli před uzavřením smlouvy nebo významným zvýšením úvěru důkladně posoudit úvěruschopnost. Má vycházet z potřebných, spolehlivých, dostatečných a přiměřených informací získaných z relevantních vnitřních nebo vnějších zdrojů, včetně údajů od spotřebitele a případně z databází umožňujících posouzení úvěruschopnosti.
„Poskytovatel posoudí úvěruschopnost spotřebitele na základě nezbytných, spolehlivých, dostatečných a přiměřených informací získaných z relevantních vnitřních nebo vnějších zdrojů [...].“
—
ISIR tedy může být jedním z vnějších zdrojů, pokud informace skutečně souvisí s hodnocením příjmů, výdajů, majetku, závazků nebo dosavadního plnění dluhů. Zákon ale neříká, že kontrola rejstříku nahrazuje celé posouzení. Údaje od spotřebitele, doložení příjmů, pravidelné výdaje a ostatní závazky musí věřitel hodnotit v přiměřeném celku.
Záznam o řízení není totéž co rozhodnutí o úpadku
Nejdůležitější praktickou chybou by bylo zacházet s každým výsledkem vyhledávání stejně. Podle § 97 se insolvenční řízení zahajuje dnem, kdy návrh dojde příslušnému soudu. Soud poté zveřejní vyhlášku o zahájení. V této fázi však ještě nemuselo proběhnout dokazování, zda je dlužník skutečně v úpadku.
Rozhodnutí o úpadku přichází až tehdy, jestliže soud zjistí nebo osvědčí úpadek či hrozící úpadek. Řízení může také skončit odmítnutím vadného nebo zjevně bezdůvodného návrhu, zastavením či zamítnutím. Kreditní analytik proto musí rozlišit alespoň:
- oznámení o zahájení řízení a osobu navrhovatele;
- rozhodnutí o insolvenčním návrhu a jeho právní stav;
- zjištění úpadku, případně způsob jeho řešení;
- splnění oddlužení, osvobození nebo jiný výsledek;
- datum a to, zda údaje náleží skutečně posuzované osobě.
Zamítnout úvěr jen proto, že vyhledávač nalezl jméno, bez kontroly data narození nebo jiného zákonného identifikátoru, fáze a výsledku řízení, vytváří zřejmé riziko záměny i nepřesného rozhodnutí. Stejně problematické je vydávat pouhé podání návrhu za soudní potvrzení úpadku.
Veřejnost údajů nenahrazuje právní základ podle GDPR
Věřitel, který údaje z ISIR ukládá, propojuje s žádostí a používá k rozhodnutí, je pro toto zpracování správcem osobních údajů. Musí splnit GDPR nezávisle na tom, že Ministerstvo spravedlnosti údaje zákonně zveřejňuje. Právní základ ministerstva pro vedení rejstříku není automaticky právním základem banky nebo nebankovního věřitele pro vlastní hodnocení.
Článek 6 GDPR nabízí několik potenciálně relevantních základů. U konkrétního úvěrového procesu může zpracování plnit právní povinnost věřitele řádně posoudit úvěruschopnost, být nezbytné pro kroky před uzavřením smlouvy na žádost žadatele nebo se v určitém rozsahu opírat o oprávněný zájem. Tyto možnosti nejsou zaměnitelné. Věřitel má určit účel, nezbytnost a správný základ pro jednotlivé operace a u oprávněného zájmu provést vyvážení proti právům žadatele.
Souhlas zpravidla není vhodnou univerzální náhradou za tuto analýzu. Pokud zákon ukládá posouzení úvěruschopnosti, nelze povinnost věřitele proměnit ve zpracování, které by po odvolání souhlasu postrádalo základ. Současně nelze právní povinnost vykládat tak široce, že ospravedlní sběr veškerých dokumentů ze spisu pro budoucí, blíže neurčené účely.
Minimalizace, správnost a omezení uchování
Článek 5 GDPR vyžaduje zákonnost, korektnost a transparentnost, účelové omezení, minimalizaci, přesnost a omezení uložení. Pro kontrolu ISIR to znamená vyhledávat pouze údaje potřebné pro konkrétní rozhodnutí a nepřebírat citlivé nebo nesouvisející pasáže z podání jen proto, že jsou technicky dostupné.
“Personal data shall be [...] adequate, relevant and limited to what is necessary in relation to the purposes for which they are processed.”
—
Přesnost má zvláštní význam, protože stav řízení se mění. Věřitel by měl zaznamenat datum kontroly a rozhodný dokument, nikoli pouze neurčitý příznak „insolvence“. Pokud mezi žádostí a rozhodnutím uplyne delší doba, může být nutná nová kontrola. Interní retenční doba nemusí kopírovat dobu, po kterou byl spis veřejný; musí odpovídat účelu, právním povinnostem a potřebě doložit správnost rozhodnutí.
Také zákon sám omezuje veřejnou dostupnost v čase. § 425 obecně stanoví znepřístupnění údajů po pěti letech od právní moci rozhodnutí, kterým řízení skončilo. U některých řízení skončených rozhodnutím podle § 142 může dlužník po třech měsících požádat o dřívější výmaz a u úspěšného oddlužení s osvobozením platí zvláštní tříletá lhůta. Věřitel by neměl obcházet účinek těchto pravidel nekontrolovaným vytvářením trvalé soukromé kopie veřejného spisu.
Informační povinnost vůči žadateli
Když věřitel získá osobní údaje z rejstříku, nikoli přímo od žadatele, použije se zpravidla článek 14 GDPR. Informace mají pokrýt totožnost správce, účely, právní základ, kategorie údajů, příjemce, dobu uchování a práva osoby. GDPR výslovně požaduje také sdělení zdroje a případně skutečnosti, že šlo o veřejně přístupný zdroj.
“The controller shall provide the data subject with [...] from which source the personal data originate, and if applicable, whether it came from publicly accessible sources.”
—
Výjimky z informační povinnosti je nutné vykládat podle jejich podmínek; nelze předpokládat, že veřejnost ISIR automaticky znamená, že žadatel už ví, jak věřitel údaje používá. Transparentní oznámení by mělo konkrétně uvést kontrolu insolvenčního rejstříku, ne ji skrýt pod neurčitou formulaci o „veřejných zdrojích“.
Kdy je nutná další ochrana proti automatickému rozhodnutí
Použití ISIR v podpůrném analytickém nástroji ještě samo o sobě neznamená rozhodnutí podle článku 22 GDPR. Zvláštní režim nastává zejména tehdy, když je výsledek založen výhradně na automatizovaném zpracování a vyvolává právní nebo podobně významný účinek, například automatické zamítnutí žádosti.
V takovém případě musí být splněna některá z výjimek článku 22 odst. 2 a zavedeny odpovídající záruky. U smluvní nezbytnosti nebo výslovného souhlasu mezi minimální záruky patří možnost lidského zásahu, vyjádření vlastního stanoviska a napadení rozhodnutí. Pouhé formální potvrzení algoritmického výsledku pracovníkem nemusí být skutečným lidským posouzením. Podrobnosti automatizovaného scoringu a práva na vysvětlení jsou samostatnou otázkou; zde je podstatné, že záznam z ISIR nesmí být nekontrolovaným automatickým veto signálem.
Praktický kontrolní postup pro věřitele
Před použitím ISIR je vhodné písemně vymezit účel a právní základ, určit potřebná pole a nastavit přesnou identifikaci osoby. U každého nálezu má pracovník nebo skutečně oprávněný lidský přezkum zkontrolovat fázi, výsledek, datum a rozhodné dokumenty. Rozhodnutí má spojit tento údaj s příjmy, výdaji, závazky a ostatními spolehlivými podklady.
Auditní záznam má vysvětlit, co bylo zjištěno a proč to bylo pro výsledek relevantní, aniž by uchovával celý insolvenční spis. Žadatel má obdržet transparentní informace o zdroji a způsobu použití. Musí existovat cesta k opravě záměny, aktualizaci zastaralého stavu a lidskému přezkumu významného automatizovaného výsledku.
Závěr
Český insolvenční rejstřík je legitimní veřejný zdroj pro přiměřené posouzení úvěrového rizika, nikoli hotový seznam osob, kterým se úvěr nesmí poskytnout. Věřitel musí propojit povinnost posoudit úvěruschopnost s pravidly GDPR, rozlišit zahájení řízení od rozhodnutí o úpadku, ověřit správnost a aktuálnost a omezit rozsah i uchování údajů. Čím více je výsledek automatizovaný a pro žadatele významný, tím důležitější jsou transparentnost, skutečný lidský přezkum a možnost rozhodnutí napadnout.
Zdroje
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.