Stručná odpověď
České právo automatizované úvěrové modely nezakazuje. Zákon č. 257/2016 Sb., o spotřebitelském úvěru, od 1. ledna 2024 výslovně připouští jejich použití při přiměřeném ověřování informací. Model však nesmí nahradit důkladné, spolehlivé a individualizované posouzení schopnosti konkrétního spotřebitele splácet. Poskytovatel musí porovnat příjmy, výdaje, závazky a další relevantní údaje a úvěr může poskytnout jen tehdy, nejsou-li důvodné pochybnosti o splácení.
Na tuto českou povinnost se vrství GDPR. Pokud je rozhodnutí založeno výlučně na automatizovaném zpracování a má právní nebo obdobně významný účinek, použije se článek 22. Rozsudek Soudního dvora ve věci SCHUFA, C‑634/21, ukazuje, že „rozhodnutím“ může být už skóre vytvořené úvěrovou informační společností, jestliže se o ně banka při schválení úvěru zásadně opírá. Nestačí tedy formálně tvrdit, že konečné tlačítko stiskl někdo jiný.
Transparentnost také nekončí sdělením čísla skóre. Podle rozsudku Dun & Bradstreet Austria, C‑203/22, musí být člověku srozumitelně vysvětlen postup a skutečně použitá pravidla tak, aby pochopil, které jeho údaje byly použity a jak mohly ovlivnit výsledek. GDPR nevyžaduje automaticky vydání zdrojového kódu nebo celé složité matematické formule, ale obchodní tajemství nemůže ospravedlnit úplné odmítnutí informací.
Česká pravidla: automatizace je nástroj, nikoli náhrada úsudku
upravuje tři navazující kroky. Podle § 84 musí poskytovatel předem sdělit, jaké informace a doklady potřebuje. Spotřebitel poskytuje úplné a pravdivé informace a poskytovatel je ověřuje způsobem přiměřeným situaci. Současné znění výslovně dodává:
„Tyto informace je [...] povinen ověřit způsobem přiměřeným dané situaci, včetně možnosti využití automatizovaných modelů.“
—
To je oprávnění použít model jako metodu ověření, nikoli bezpečný přístav pro každý způsob skórování. § 86 stále vyžaduje důkladné posouzení založené na informacích, které jsou nezbytné, spolehlivé, dostatečné a přiměřené povaze, délce, výši a rizikovosti úvěru. Poskytovatel posuzuje konkrétní schopnost plnit smlouvu, zejména porovnáním příjmů a výdajů a zohledněním majetku, závazků a dosavadního splácení.
Údaje z úvěrové databáze nejsou cizí doporučení, za které věřitel nenese odpovědnost. § 88 odst. 2 mu ukládá přistupovat k nim, jako by je získal od spotřebitele sám, a dovoluje je využít jen pro posouzení předpokladů řádného splácení. Pokud poskytovatel poskytne úvěr v rozporu s pravidlem, že nesmějí existovat důvodné pochybnosti o schopnosti splácet, § 87 stanoví neplatnost smlouvy; soud k ní přihlédne i bez návrhu. Tento následek se však nesmí mechanicky přenášet na každé porušení informační povinnosti nebo GDPR.
Co ukázala česká dohledová praxe
Česká národní banka ve posuzovala systém Decision Engine a jeho skórovací modul. Rozhodnutí ze dne 11. listopadu 2024 zohlednilo i novelu, která od roku 2024 automatizované modely výslovně připustila. Přesto ČNB shledala nedostatečná pravidla v kontrolovaném období roku 2019:
„nastavení parametrů automatizovaného posouzení nebylo pro nedostatečnou vypovídací schopnost používaných statistických modelů způsobilé tyto příjmy a výdaje kriticky a s dostatečným prvkem individualizace vyhodnotit a ověřit“
—
Problémem tedy nebyla samotná existence modelu. Slabinou bylo, že proces dovoloval schválit úvěr na základě údajů deklarovaných žadatelem nebo přednastavených hodnot, aniž byly příjmy, výdaje a dosavadní dluhy spolehlivě ověřeny. Praktický test není „používáme moderní algoritmus“, ale „umíme u konkrétní žádosti doložit spolehlivé vstupy, přiměřenou individualizaci a výsledek odpovídající § 86“.
Kdy se uplatní zákaz podle článku 22 GDPR
v zásadě zakazuje rozhodnutí založené výlučně na automatizovaném zpracování, včetně profilování, pokud má pro člověka právní účinky nebo jej obdobně významně ovlivňuje. Výjimka přichází v úvahu, je-li rozhodnutí nezbytné pro uzavření nebo plnění smlouvy, dovoluje-li je právo Unie nebo členského státu s vhodnými zárukami, nebo je-li založeno na výslovném souhlasu. U smluvní výjimky a souhlasu musí správce nejméně umožnit lidský zásah, vyjádření názoru a napadení rozhodnutí.
Výraz „výlučně automatizované“ nelze vyřešit symbolickou kontrolou zaměstnance. Aby lidský zásah změnil kvalifikaci, musí být skutečný: člověk musí mít pravomoc, podklady a čas výsledek modelu přezkoumat a případně změnit. Stejně tak nelze automaticky předpokládat, že každé rychlé online poskytování úvěru činí automatizaci „nezbytnou“ pro uzavření smlouvy.
Ve věci , Soudní dvůr určil tři podmínky: musí existovat rozhodnutí, musí být založeno výlučně na automatizovaném zpracování a musí mít právní nebo obdobně významný účinek. Pojem rozhodnutí vyložil široce. Jestliže pravděpodobnostní hodnota vytvořená úvěrovou informační společností hraje určující roli při poskytnutí úvěru, její vytvoření může samo spadat pod článek 22:
„the establishment of that value must be qualified in itself as a decision“
—
Pro český trh je důležitá funkce, ne organizační schéma. Úvěrová informační společnost se nemůže vždy označit jen za dodavatele podkladu a věřitel nemůže odpovědnost přenést na externí skóre. Je třeba zjistit, jakou váhu skóre ve skutečnosti má, zda zbývá prostor pro nezávislé posouzení a kdo je správcem jednotlivých operací.
Dvě vrstvy transparentnosti
Český § 89 vyžaduje, aby poskytovatel spotřebitele bez zbytečného odkladu informoval o odmítnutí úvěru po posouzení úvěruschopnosti. Je-li důvodem neposkytnutí výsledek automatizovaného zpracování nebo vyhledávání v databázi, musí jej vyrozumět o tomto výsledku a o použité databázi.
To je minimální sektorová informace, nikoli úplný výčet práv subjektu údajů. Články 13 odst. 2 písm. f), 14 odst. 2 písm. g) a 15 odst. 1 písm. h) GDPR vyžadují v relevantních případech smysluplné informace o použité logice a o významu a předpokládaných důsledcích zpracování.
Rozsudek tuto povinnost konkretizoval. Vysvětlení má popsat postup a skutečně použitá pravidla relevantními informacemi, stručně, transparentně, srozumitelně a snadno přístupně. Člověk má být schopen pochopit, které jeho osobní údaje byly použity. U skórování může pomoci například vysvětlení, do jaké míry by změna určitého vstupu vedla k jinému výsledku.
Soud současně odmítl oba extrémy. Pouhé předání složité formule není srozumitelným vysvětlením, ale GDPR obecně nevyžaduje zveřejnění plného algoritmu. Pokud správce tvrdí, že podrobnější informace chrání osobní údaje třetích osob nebo obchodní tajemství, musí je být schopen zpřístupnit dozorovému orgánu nebo soudu k poměření práv. Výsledkem nemůže být paušální odmítnutí všech informací.
Praktická pravidla pro poskytovatele a úvěrovou informační společnost
Obhajitelný proces by měl nejméně:
- oddělit obecné rizikové skóre od konečného rozhodnutí a dokumentovat skutečnou váhu skóre;
- uchovat původ, datum, přesnost a význam každého vstupu, včetně údajů z registrů;
- testovat, zda model spolehlivě hodnotí příjmy, výdaje, závazky a historii splácení konkrétního žadatele;
- určit právní základ zpracování a samostatně posoudit podmínky článku 22, místo automatického odkazu na smlouvu;
- zavést skutečný lidský přezkum s možností výsledek změnit;
- připravit vysvětlení ve srozumitelném jazyce, včetně rozhodujících kategorií údajů a jejich vlivu;
- umožnit opravu chybných vstupů, vyjádření spotřebitele a napadení výsledku;
- sledovat chybovost, diskriminační dopady a změny modelu a zachovat auditní stopu každé verze.
Co odhalil produkční test Legalcode
Produkční MCP přes testovací bypass našel aktuální český zákon, rozhodnutí ČNB a obě rozhodnutí Soudního dvora v plném textu. Metadata C‑634/21 správně uvádějí článek 22 GDPR a vztahové trasování vrací GDPR jako související zákon.
U C‑203/22 však legalcode_trace GDPR nevrátil, ačkoli záznam obsahuje desítky přesných právních základů z GDPR a normalizace rozpoznala klíč nařízení. Vada je evidována v . Stejné trasování navíc vrátilo zrušenou směrnici 95/46/ES jako ACTIVE a isCurrent: true; chybný životní cyklus je v .
Tyto vady nemění právní závěr, protože plné texty a oficiální odkazy byly dostupné. Ovlivňují však automatické sestavení mapy autorit: bez ruční kontroly by mohl uživatel u Dun & Bradstreet přehlédnout hlavní předpis a současně považovat zrušenou směrnici za stále účinnou.
Závěr
České právo dovoluje automatizované modely jako součást ověřování úvěruschopnosti, ale zachovává plnou odpovědnost za kvalitu vstupů, individualizaci a rozhodnutí podle § 86. Český poskytovatel musí navíc splnit § 89 při odmítnutí úvěru a pravidla GDPR pro zákonnost, transparentnost a automatizovaná rozhodnutí.
SCHUFA brání rozdělení procesu mezi bureau a věřitele tak, aby významné automatizované skóre uniklo článku 22. Dun & Bradstreet vyžaduje skutečné, srozumitelné vysvětlení použitého postupu, nikoli jen číslo skóre nebo neprůhlednou formuli. Obhajitelný systém proto spojuje spolehlivé české posouzení schopnosti splácet s reálným lidským přezkumem, vysvětlitelností a účinnou možností opravy a napadení.
Zdroje
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.