Trumpas atsakymas
Lietuvoje kredito informacijos naudojimą pirmiausia tiesiogiai reguliuoja . Kredito įstaiga, kredito biuras ar kitas duomenų valdytojas turi turėti teisėtą duomenų tvarkymo pagrindą, rinkti tik tam tikslui būtinus duomenis, užtikrinti jų tikslumą ir galėti įrodyti, kad šių principų laikosi. Asmuo gali prašyti prieigos prie duomenų ir jų šaltinių, reikalauti ištaisyti netikslumus, apriboti ginčijamų duomenų naudojimą, prieštarauti tam tikram tvarkymui ir gauti informaciją apie automatizuoto sprendimo logiką bei pasekmes.
Vien kredito balo apskaičiavimas nėra automatiškai draudžiamas. Tačiau byloje ES Teisingumo Teismas išaiškino, kad tikimybės balo nustatymas gali pats būti GDPR 22 straipsnyje numatytas automatizuotas sprendimas, jeigu trečiasis asmuo tam balui suteikia lemiamą vaidmenį spręsdamas dėl sutarties. Tuomet taikomos 22 straipsnio sąlygos ir apsaugos: žmogaus įsikišimas, galimybė pareikšti nuomonę ir ginčyti sprendimą.
Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymas papildo GDPR nacionaliniu lygmeniu, o Valstybinė duomenų apsaugos inspekcija (VDAI) prižiūri taisyklių taikymą. Vis dėlto dabartinėje Legalcode kolekcijoje pats pagrindinis Lietuvos įstatymas nerandamas, o LT_VDAI šaltinyje yra tik keturi procedūriniai ar atvirų duomenų įrašai ir nėra materialios gairės apie kredito vertinimą, profiliavimą ar klaidų taisymą. Todėl nacionalinės dalies pilnumo negalima patvirtinti vien Legalcode: trūkumai registruoti ir .
Kokie principai taikomi kredito informacijai?
GDPR 5 straipsnis reikalauja, kad duomenys būtų tvarkomi teisėtai, sąžiningai ir skaidriai, renkami apibrėžtais tikslais, adekvatūs ir ne pertekliniai. Kredito istorijai ypač svarbus tikslumo principas:
Asmens duomenys turi būti tikslūs ir prireikus atnaujinami; turi būti imamasi visų pagrįstų priemonių užtikrinti, kad asmens duomenys, kurie nėra tikslūs, atsižvelgiant į jų tvarkymo tikslus, būtų nedelsiant ištrinami arba ištaisomi.
—
Tai reiškia daugiau nei pareigą pataisyti rašybos klaidą gavus skundą. Duomenų valdytojas turi pasirinkti patikimus šaltinius, nustatyti atnaujinimo tvarką, atskirti neapmokėtą skolą nuo jau sumokėtos ar ginčijamos prievolės ir neperduoti pasenusio statuso kaip dabartinio fakto. Jei balas gaunamas iš kelių registrų, kiekvieno įvesties duomens kilmė ir data turi būti atsekama.
Teisėtas pagrindas priklauso nuo konkretaus naudojimo. Tai gali būti teisinė prievolė, sutarties sudarymui būtinas veiksmas arba teisėtas interesas, tačiau vien bendras noras mažinti riziką nepašalina būtinumo, proporcingumo ir skaidrumo reikalavimų. Kredito davėjas turi atskirti kreditingumo patikrą, sukčiavimo prevenciją, rinkodarą ir vėlesnį portfelio modeliavimą: skirtingi tikslai negali būti automatiškai sujungti.
Ką asmuo gali sužinoti apie balą ir jo duomenis?
Pagal 15 straipsnį asmuo gali gauti tvarkomų duomenų kopiją, informaciją apie tikslus, duomenų kategorijas, gavėjus, saugojimo laiką ir, kai duomenys surinkti ne iš jo, jų šaltinį. Jei vykdomas automatizuotas sprendimų priėmimas, turi būti pateikta prasminga informacija apie taikomą logiką, jos reikšmę ir numatomas pasekmes.
sprendime Teisingumo Teismas pabrėžė, kad paaiškinimas turi leisti duomenų subjektui suprasti ir patikrinti, kaip automatizuota procedūra veikė jo atveju. Neužtenka vien įvardyti algoritmą, pateikti abstraktų kintamųjų sąrašą ar pasakyti, kad metodas yra komercinė paslaptis. Kita vertus, tai nebūtinai reiškia viso programinio kodo atskleidimą. Jei kyla komercinių paslapčių ar kitų asmenų duomenų konfliktas, institucija ar teismas turi suderinti teises, o ne leisti visiškai atsisakyti paaiškinimo.
Praktiškame prašyme verta nurodyti konkretų sprendimą ir datą bei paprašyti: naudotų duomenų, jų šaltinių ir datų; balo ar rizikos kategorijos; pagrindinių veiksnių, kurie rezultatą padidino ar sumažino; gavėjų; saugojimo termino; informacijos, ar rezultatas priimtas tik automatizuotai ir kiek juo rėmėsi galutinį sprendimą priėmęs kreditorius.
Kada automatizuotam kredito sprendimui taikomas 22 straipsnis?
GDPR nustato specialią teisę, kai automatizuotas vertinimas sukelia teisinį arba panašiai didelį poveikį:
Duomenų subjektas turi teisę, kad jam nebūtų taikomas tik automatizuotu duomenų tvarkymu, įskaitant profiliavimą, grindžiamas sprendimas, dėl kurio jam kyla teisinės pasekmės arba kuris jam panašiu būdu daro didelį poveikį.
—
Kredito paraiškos atmetimas, kredito limito sumažinimas ar gerokai blogesnės sąlygos paprastai gali turėti tokį poveikį. 22 straipsnio 2 dalis leidžia automatizuotą sprendimą tam tikrais atvejais, pavyzdžiui, kai jis būtinas sutarčiai sudaryti ar vykdyti arba pagrįstas aiškiu sutikimu, tačiau tada turi būti taikomos tinkamos apsaugos. Minimaliai turi būti suteikta teisė reikalauti žmogaus įsikišimo, išdėstyti savo poziciją ir užginčyti sprendimą.
SCHUFA sprendimas uždarė galimą atsakomybės spragą. Kredito informacijos bendrovė negali visada sakyti, kad ji tik pateikė skaičių, o kreditorius negali vien formaliai teigti, kad galutinį mygtuką paspaudė darbuotojas. Reikia vertinti realų procesą: jeigu balas praktiškai nulemia rezultatą, 22 straipsnis gali būti taikomas jau balo sukūrimui. Tikras žmogaus vertinimas turi būti prasmingas, turėti teisę pakeisti rezultatą ir atsižvelgti į individualiai pateiktus įrodymus.
Kaip taisomi netikslūs kredito duomenys?
GDPR 16 straipsnis suteikia tiesioginę teisę reikalauti ištaisyti netikslius duomenis:
Duomenų subjektas turi teisę reikalauti, kad duomenų valdytojas nepagrįstai nedelsdamas ištaisytų netikslius su juo susijusius asmens duomenis.
—
Prašyme reikėtų tiksliai įvardyti ginčijamą įrašą, paaiškinti klaidą ir pridėti patvirtinančius dokumentus, pavyzdžiui, mokėjimo kvitą, teismo sprendimą ar kreditoriaus patvirtinimą. Prašymas turėtų būti siunčiamas ir duomenų šaltiniui, ir balą ar ataskaitą naudojančiam valdytojui, jei jų vaidmenys skiriasi. Valdytojas negali mechaniškai atmesti prašymo vien todėl, kad klaidingą informaciją gavo iš trečiojo asmens.
Kol tikslumas tikrinamas, 18 straipsnis leidžia reikalauti apriboti tvarkymą:
duomenų subjektas užginčija duomenų tikslumą tokiam laikotarpiui, per kurį duomenų valdytojas gali patikrinti asmens duomenų tikslumą;
—
Apribojimas ypač svarbus, kai ginčijamas įrašas gali būti pakartotinai perduotas arba kasdien perskaičiuoti balą. Pagal 19 straipsnį valdytojas paprastai turi pranešti apie ištaisymą ar apribojimą kiekvienam gavėjui, kuriam duomenys buvo atskleisti, nebent tai neįmanoma arba pareikalautų neproporcingų pastangų. Asmuo gali prašyti, kad gavėjai būtų įvardyti.
Jei tvarkymas grindžiamas viešojo intereso užduotimi ar teisėtu interesu, 21 straipsnis taip pat leidžia dėl su konkrečiu atveju susijusių priežasčių prieštarauti tvarkymui, įskaitant profiliavimą. Tai nėra tas pats, kas ištaisymo teisė: tikslus įrašas gali būti teisėtai ginčijamas dėl jo naudojimo, o netikslus įrašas turi būti taisomas nepriklausomai nuo prieštaravimo.
Ar kredito informacija gali būti saugoma neribotai?
Ne. Saugojimo trukmė turi būti susieta su tikslu, būtinybe ir teisiniu pagrindu. Teisingumo Teismas nagrinėjo privačios kredito informacijos bendrovės saugomus viešo nemokumo registro duomenis. Teismas nusprendė, kad informacijos apie atleidimą nuo likusių skolų saugojimas ilgiau, nei ji laikoma viešame registre, prieštarauja GDPR. Net ir lygiagretus saugojimas viešo skelbimo laikotarpiu nėra savaime teisėtas: reikia įvertinti būtinybę ir interesų pusiausvyrą.
Ši išvada nereiškia vienodo termino kiekvienam Lietuvos kredito duomeniui. Ji reiškia, kad registras ar kredito biuras turi pagrįsti konkretų terminą, o viešas duomens prieinamumas nėra neribota licencija jį kopijuoti, praturtinti ir naudoti balams kitu tikslu.
Kur kreiptis Lietuvoje ir kokia kolekcijos spraga?
Pirmas žingsnis paprastai yra rašytinis prašymas duomenų valdytojui. Jei atsakymas nepateikiamas, yra neišsamus arba netikslumas toliau veikia sprendimus, asmuo gali kreiptis į VDAI ir ginti teises teisme. Konkrečiai kredito sutarčiai gali būti svarbios ir finansų rinkos priežiūros bei vartotojų apsaugos taisyklės, tačiau jos nepakeičia GDPR teisių.
Legalcode tyrimas atskleidė reikšmingą ribą. Tikslaus Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo pavadinimo, numerio XIII-1426 ir ankstesnio registro identifikatoriaus TAIS.29193 paieškos LT_CONSOLIDATED šaltinyje nepateikė paties akto. LT_VDAI pilname keturių dokumentų rinkinyje buvo trys atvirų duomenų rinkinių aprašai ir viena procedūrinė taisyklė, bet ne gairės apie kredito balus, profiliavimą, duomenų taisymą ar 22 straipsnį. Todėl negalima iš šios kolekcijos daryti išvados, kad VDAI neturi tokių pozicijų; galima tik konstatuoti, kad jų neapima šaltinis.
Be to, tiksli GDPR CELEX paieška grąžino tris konceptualiai dubliuojamus įrašus, o bendras straipsnio numerio gavimas kartais nukreipė į konstatuojamąsias dalis ar kryžmines nuorodas vietoje operacinės nuostatos. Tai registruota . Šiame straipsnyje todėl naudojamos oficialios EUR-Lex straipsnių nuorodos ir atskiri Teisingumo Teismo bylų identifikatoriai.
Išvada
- GDPR tiesiogiai reguliuoja kredito duomenų teisėtumą, būtinumą, tikslumą, skaidrumą ir saugojimo trukmę Lietuvoje.
- Asmuo turi teisę susipažinti su duomenimis ir jų šaltiniais, reikalauti ištaisyti klaidas ir apriboti naudojimą, kol tikslumas tikrinamas.
- Reikšmingą rezultatą praktiškai nulemiantis kredito balas gali būti automatizuotas sprendimas pagal 22 straipsnį, net jei balą apskaičiuoja atskira bendrovė.
- Paaiškinimas turi leisti suprasti ir patikrinti individualų rezultatą; abstrakti nuoroda į komercinę paslaptį nėra pakankama.
- Viešo registro duomenų negalima automatiškai saugoti ilgiau ar naudoti plačiau vien todėl, kad jie kadaise buvo vieši.
- Dabartinė Legalcode Lietuvos nacionalinio įstatymo ir VDAI gairių aprėptis yra nepakankama, todėl nacionalines detales reikia tikrinti oficialiame e-Seimas registre ir VDAI svetainėje.
Šaltiniai
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.