Poznámka: Rozsudky nejsou spojeny s případy noyb
Přelomové rozsudky SDEU o "úvěrovém hodnocení" a přezkumu dohod o udělení souhlasu k prodeji
Soudní dvůr Evropské unie (SDEU) dnes vydal dva přelomové rozsudky v řízeních proti německé úvěrové referenční agentuře SCHUFA, která se v Německu dříve těšila značné volnosti. SDEU potvrdil, že vnitrostátní soudy mají rozsáhlé pravomoci ke kontrole orgánů pro ochranu údajů - tím posílil práva subjektů údajů. Soud dále rozhodl, že přidělování automaticky vypočítávaných úvěrových skóre není v souladu s GDPR.
- Vyjádření advokáta, který zastupoval jednoho z žalobců proti SCHUFA
- Tisková zpráva Soudního dvora EU
Co je předmětem podnikání v oblasti úvěrového hodnocení? Společnosti, jako je SCHUFA, jsou takzvané úvěrové referenční agentury. Shromažďují obrovské množství osobních údajů, aby lidem přiřadily údajnou úvěruschopnost. Toto skóre používají banky a společnosti k posouzení, zda by někdo měl dostat půjčku nebo smlouvu na mobilní telefon.
Souvislosti: Výmaz údajů a automatizované úvěrové hodnocení. Výchozím bodem pro nyní rozhodnuté řízení před Soudním dvorem EU byly dvě stížnosti proti společnosti SCHUFA u hesenského úřadu pro ochranu údajů (HBDI). V jednom případě (spojené věci C-26/22 a C-64/22) požadoval subjekt údajů vymazání údajů o insolvenci z databáze SCHUFA poté, co již byly vymazány z veřejného insolvenčního rejstříku, odkud je SCHUFA převzala a dále uchovávala. HBDI nejenže žalobu zamítl, ale dokonce tvrdil, že příslušný soud nemůže jeho rozhodnutí meritorně přezkoumat. Druhý případ (C-634/21) se týkal otázky, zda SCHUFA vůbec smí automaticky vydávat úvěrové hodnocení - nebo zda se jedná o "automatizované rozhodování v jednotlivých případech", které GDPR do značné míry zakazuje.
Rozsudek ve spojených věcech C-26/22 a C-64/22(odkaz)
Úplný soudní přezkum orgánů pro ochranu osobních údajů. Rozsudek Soudního dvora EU masivně zvýšil tlak na orgány pro ochranu údajů (OOÚ). V některých členských státech EU, včetně Německa, dosud předpokládaly, že stížnost subjektů údajů podle GDPR je pouze jakousi "peticí". V praxi to znamenalo, že navzdory ročnímu rozpočtu ve výši 100 milionů EUR německé orgány pro ochranu údajů mnoho stížností s bizarním odůvodněním zamítly a porušení GDPR se neprojednávalo. V zemích, jako je Irsko, nebylo vyřízeno více než 99 % stížností a ve Francii bylo odepřeno jakékoli právo dotčených osob účastnit se řízení týkajícího se jejich vlastních práv. Některé orgány pro ochranu údajů, jako například hesenský orgán v tomto případě, rovněž tvrdily, že soudy mají zakázáno podrobně přezkoumávat jejich rozhodnutí.
Více práv pro subjekty údajů. SDEU nyní tomuto přístupu učinil přítrž. Rozhodl, že článek 77 obecného nařízení o ochraně osobních údajů je koncipován jako mechanismus, který účinně chrání práva a zájmy subjektů údajů. Kromě toho soud rozhodl, že článek 78 GDPR umožňuje vnitrostátním soudům provádět úplný přezkum rozhodnutí orgánu pro ochranu údajů. To zahrnuje posouzení, zda orgány jednaly v mezích své diskreční pravomoci.
Raphael Rohrmoser, právní zástupce žalobce v této věci: "Evropský soudní dvůr masivně posílil práva subjektů údajů. Uchovávání údajů z veřejných rejstříků již není povoleno jinak než v samotném rejstříku."
Rozsudek ve věci C-634/21(odkaz)
Podnikání v oblasti úvěrového hodnocení na vratké půdě. To však není vše. Soudní dvůr EU svým rozsudkem ve věci C-634/21 otřásá celým obchodním modelem SCHUFA (a dalších úvěrových agentur): plně automatizovaný výpočet údajné bonity pomocí neprůhledných algoritmů spadá pod zvláštní ochranu podle článku 22 GDPR. Toto ustanovení zakazuje používání osobních údajů pro plně automatizovaná rozhodnutí, která mají "významný nepříznivý dopad" na subjekty údajů. Jinými slovy, rozhodnutí určitého rozsahu by neměla být činěna pouze pomocí algoritmů.
Marco Blocher: "Prosté přidělení nesrozumitelného úvěrového skóre občanům a následné automatické odmítnutí smlouvy je díky rozsudku Soudního dvora EU minulostí."
Zákaz automatizovaného úvěrového hodnocení. Odvětví úvěrových agentur dosud tvrdilo, že ani hrozné úvěrové skóre, které by člověku zcela jistě znemožnilo uzavřít velké množství smluv (např. úvěry, pojištění, nájemní smlouvy nebo smlouvy o dodávkách elektřiny), není "negativním rozhodnutím". Podle nich konečné rozhodnutí činí společnost, která skóre používá. Soudní dvůr EU zastává jiný názor a nyní rozhodl, že přiřazení bonity již může představovat rozhodnutí podle článku 22 GDPR. To znamená, že automatizovaný credit scoring je ve své současné podobě pro úvěrové agentury v celé EU zakázán. Pokud bude chtít SCHUFA v budoucnu vypočítávat úvěruschopnost lidí, bude potřebovat jejich výslovný souhlas. Kromě toho musí být subjektům údajů umožněno napadnout úvěrové skóre.
Raphael Rohrmoser, právník žalobce v této věci: "Nemělo by se podceňovat, že subjekty údajů mohou nyní pravidelně podávat žaloby proti úředním rozhodnutím. To jistě posílí vymahatelnost práv podle GDPR."
