Interpretarea scorului de credit conform CJUE
La sfârșitul anului trecut, Curtea de Justiție a Uniunii Europene (CJUE) a emis o decizie importantă referitoare la articolul 22 din Regulamentul general privind protecția datelor (GDPR). Hotărârea se concentrează pe deciziile luate exclusiv pe baza prelucrării automate a datelor, care au un impact semnificativ asupra persoanelor vizate. Analiza efectuată de instanța europeană a scos în evidență implicații practice majore, relevante atât pentru instituțiile care oferă evaluări de credit, cât și pentru consumatori.
În Cauza C‑634/21, CJUE a investigat cazul unei societăți germane, SCHUFA Holding AG, care a refuzat acordarea unui credit unui consumator (OQ) din cauza scorului său de credit obținut prin evaluare. OQ a solicitat SCHUFA să îi furnizeze datele personale stocate și să șteargă anumite informații pe care le considera eronate.
În răspunsul său, SCHUFA a comunicat consumatorului scorul de credit și a descris, în mare parte, metodologia utilizată pentru calcularea acestuia. Totuși, invocând motive de securitate comercială, a refuzat să ofere detalii despre informațiile specifice și uzitarea lor în calcul. A explicat că informațiile nesecretizate erau transmise doar partenerilor contractuali, care sunt responsabili pentru luarea deciziilor finale.
În această lumină, o instanță din Germania a solicitat CJUE să clarifice o chestiune de decizie preliminară. Problema principală a fost dacă scorul oferit de SCHUFA reprezintă o decizie individuală automatizată cu efecte juridice semnificative asupra consumatorului sau dacă îl afectează în mod considerabil, implicând astfel obligația SCHUFA de a oferi mai multe detalii referitoare la logica deciziei.
Conform articolului 22 din GDPR, o persoană are dreptul de a nu fi supusă unei decizii luate exclusiv automat, inclusiv profilărilor, care au efecte juridice asupra sa sau care o afectează în mod substanțial. Totodată, alineatul 2 din acest articol prevede anumite excepții, inclusiv: (a) decizia este necesară pentru executarea unui contract; (b) decizia este autorizată de legislația Uniunii sau de cea națională, care include garanții pentru protecția dânsei; (c) decizia este bazată pe consimțământul explicit al persoanei. Chiar și în aceste situații, operatorii trebuie să asigure o intervenție umană și o modalitate prin care persoana vizată să conteste decizia.
Referitor la aspectele esențiale ale hotărârii, instanța a stabilit că: 1. Definiția extinsă de „decizie” afirmată în considerentul 71 din GDPR include calcularea unor scoruri de credit bazate pe probabilitate; 2. O probabilitate insuficientă afectează semnificativ consumatorul, cum s-ar întâmpla când o bancă refuză o cerere de credit din cauza acestui scor; 3. Calcularea scorului de credit de către agențiile de referință constituie o decizie individuală automatizată atunci când un terț se bazează, „în mod determinant”, pe această valoare pentru a estabeli sau încheia un contract.
Sistemul de scoring se bazează pe analiza statistică a datelor demografice și a istoricului de plăți al solicitantului. Această evaluare atribuie puncte fiecărei trăsături a consumatorului, rezultând un profil de risc estimat, pe baza căruia banca decide acordarea sau refuzul creditului.
În România, mai multe entități private oferă evaluări de scoruri de credit atât consumatorilor, cât și instituțiilor financiare. Printre cei renumiți se numără Biroul de Credit, care administrează o bază de date cu informații despre activitățile financiare ale clienților. Instituțiile de credit pot accesa această bază pentru a consulta informații relevante.
În evaluarea unei cereri, instituția de credit solicită Biroului de Credit un raport ce conține date personale precum: informații despre angajator, detalii referitoare la produsele de credit solicitate, evenimentele apărute în timpul utilizării creditului, și relațiile cu alte conturi.
De asemenea, poate fi utilizat FICO Score, un index care variază între 300 și 850, ce reflectă probabilitatea ca persoana să-și achite la timp datoriile. Acest scor este calculat pe baza informațiilor furnizate de participanții la Sistemul Biroului de Credit.
Mecanismele de evaluare sunt similare pentru toți operatorii, astfel că interpretarea CJUE este relevantă și pentru furnizorii români de scoruri de credit.
Pe lângă protecția drepturilor individului conform articolelor 22 alineatele (2) și (3) din GDPR, operatorii trebuie să asigure măsuri adecvate pentru a proteja drepturile, libertățile și interesele legitime ale persoanelor vizate. Chiar și în cazurile excepționale, este esențial ca operatorul să permită intervenția umană și oferirea de argumente contra deciziilor.
CJUE a precizat că în cadrul luării unei decizii automatizate operatorul trebuie să ofere informații suplimentare specifice, referitoare la logica utilizată pentru decizie, inclusiv impactul acesteia asupra persoanei vizate.
Decizia coincide cu abordarea CJUE de a interpreta GDPR în favoarea persoanelor ale căror date personale sunt prelucrate, punând accent pe drepturile consumatorilor. Această abordare se aplică inclusiv raporturilor contractuale mai generale, incluzând domenii precum sănătatea, asigurările și ocuparea forței de muncă, exprimându-se astfel în implicarea tehnologiilor avansate.
Chiar dacă hotărârea are implicații semnificative, nu trebuie să se concluzioneze că toate sistemele de scoring automatizat cad sub incidența articolului 22 GDPR. Este necesar să se examineze fiecare caz în contextul în care scorul a influențat decizia luată de instituția de credit.
Este important să se ia în considerare calificarea operațiunilor de evaluare precontractuală ca decizii individuale automatizate. Dacă un creditor ia în calcul alți factori în mod determinant, atunci scorul nu este acoperit de protecția prevăzută de GDPR. În contractele cu furnizorii de evaluări se stipulează adesea că deciziile nu trebuie să se bazeze exclusiv pe acest scor.
Pentru clarificarea „depindentei determinante de valoare” un ghid emis de autoritatea de protecție a datelor ar fi de mare ajutor.
Articol realizat de Oana Zamă, Partener – ozama@stoica-asociatii.ro și Mircea Vasile, Avocat Junior – mvasile@stoica-asociatii.ro – STOICA & Asociații
[1] CJUE, Cauza C‑634/21 SCHUFA Holding (Scoring), pronunțată la 7 decembrie 2023
[2] Cf. Informări referitoare la prelucrarea datelor personale în Sistemul Biroului de Credit.
