noyb.eu podala stížnost na GDPR proti ratingové agentuře "CRIF", která působí ve více než 28 zemích. CRIF přidělila "skóre" přesně 446 z 700 možných kreditních bodů bezdlužnému odběrateli elektřiny s dobře placeným stálým zaměstnáním. To je zarážející, protože CRIF několikrát zdůraznila, že dotyčného nezná a nemá o něm uloženy žádné údaje. Bodové hodnocení bylo vypočteno z ničeho nic. Důsledek byl však velmi reálný: elektrárenská společnost s ním odmítla podepsat smlouvu.
- Stáhnout: Stížnost Německa rakouskému úřadu pro ochranu osobních údajů (PDF)
- Stáhnout: Vydání žádosti o povolení k přístupu k datům, která se týkala zákazníků, kteří se nacházeli na území České republiky: Strojový překlad stížnosti do angličtiny (PDF)
Jako kouzelník s králíkem vykouzlila společnost CRIF "bonitu" ze vzduchu.
Zákazník elektřiny chtěl podepsat novou smlouvu o dodávce elektřiny. Dodavatel energie nečekaně odmítl smlouvu podepsat. Důvod: jeho bonita byla příliš nízká - což je vzhledem k jeho příjmům a profesi, které by měly být na placení elektřiny více než dostatečné, poněkud překvapivé. V reakci na další dotazy mu bylo vysvětleno, že jeho úvěrové hodnocení CRIF by bylo pouze 446 bodů, zatímco minimální požadavek pro uzavření smlouvy o dodávkách energií byl 650 bodů. Zákazník se poté obrátil na společnost CRIF a požádal o přístup ke svým informacím v souladu s článkem 15 GDPR. Společnost CRIF odpověděla, že o něm jako spotřebiteli neuchovává žádné osobní údaje. Negativní bodové hodnocení tedy muselo přijít z ničeho nic.
"Odpověď společnosti CRIF je zarážející. Jak lze vypočítat přesné ratingové skóre, když o něm údajně nejsou uloženy žádné údaje? Zdá se, že CRIF vypočítala skóre ostré jako břitva ve výši 446 bodů z pouhých údajů uvedených v žádosti, tj. jména, adresy a data narození. Kdo bydlí na špatné adrese nebo má špatné datum narození, nedostane smlouvu o dodávce elektřiny. "Pravděpodobně je spravedlivější zavřít oči a vybrat náhodné číslo mezi 1 a 700." - Alan Dahi, právník zabývající se ochranou osobních údajů pro noyb.eu
Zpracování údajů musí podle GDPR dodržovat určité zásady. Jednou z nich je zásada správnosti neboli přesnosti údajů - osobní údaje musí být obsahově správné. Svévolné "voodoo" skóre, které stigmatizuje zákazníky a vylučuje je z dodávek elektřiny, je jednoznačně nezákonné.
"Pokud by osoba skutečně nebyla v databázi CRIF uložena, musel by být výsledek "Osoba neznámá", nikoli 446. V takovém případě by bylo nutné, aby byl výsledek "Osoba neznámá". Skóre bez podkladu je ze své podstaty nesprávné, a tudíž porušuje GDPR".- Alan Dahi, právník zabývající se ochranou osobních údajů pro noyb.eu
Obchodní tajemství? Zákazník s elektřinou je v nevědomosti.
Společnost CRIF odmítla i přes opakované žádosti vysvětlit, jak bylo kreditní skóre vypočteno - ačkoli podle GDPR má každá dotčená osoba právo znát logiku takových výpočtů. To bylo odůvodněno obecným tvrzením, že rozhodovací proces společnosti CRIF je "obchodním tajemstvím"; nicméně takové "tajemství", které může nechat dotčené zákazníky elektřiny doslova sedět ve tmě.
"Za prvé, spotřebitelé již nemohou uzavírat smlouvy, protože se vymýšlejí zcela nelogická hodnocení. Pak ani nelze zjistit, jak tato hodnocení vznikají. Spotřebitel se stává pěšákem v algoritmu." - Alan Dahi, právník zabývající se ochranou osobních údajů pro noyb.eu
Žádná elektřina - a žádná odpovědná osoba
Dodavatel elektřiny uvedl jako jediný důvod, proč nebylo možné dodávat energii, příliš nízké úvěrové hodnocení CRIF a jako důkaz předložil úvěrovou zprávu získanou od CRIF. Zákazník neměl možnost prokázat, že jeho bonita je ve skutečnosti bezvadná, a přesto získat smlouvu o dodávce elektřiny. Na dotaz však společnost CRIF uvedla, že žádné posouzení bonity ze strany CRIF provedeno nebylo. O uzavření smlouvy by rozhodoval výhradně dodavatel elektřiny.
Podána stížnost s možnou pokutou až 20 milionů eur
Vzhledem k nedostatku informací a zjevně nesprávným údajům podala společnost noyb první stížnost příslušnému rakouskému úřadu pro ochranu osobních údajů.
"Požádali jsme úřad pro ochranu osobních údajů, aby důkladně prověřil operace zpracování údajů společností CRIF. Úřad může tyto typy svévolných rozhodnutí o úvěrovém hodnocení zakázat a také za ně uložit sankci. Tím by se měla snížit pravděpodobnost falešných hodnocení." - Alan Dahi.
noyb bere úvěrové agentury na mušku
Ratingové agentury mají někdy velkou moc nad spotřebiteli a dosud při jejím výkonu projevovaly jen malou zodpovědnost. Často se řídí národními tradicemi namísto GDPR, které platí v celé Evropě od roku 2018. Nejenže je kvalita výpočtů často pochybná, ale dokonce není jasné, na základě čeho si soukromé společnosti, jako je CRIF nebo Schufa v Německu, dávají právo vytvářet rozsáhlé databáze o financích milionů Evropanů.
"Upřímně řečeno, nevidíme žádný základ pro to, aby tyto společnosti vytvářely sbírku dat o financích každého občana. Stížnost na CRIF je proto pouze prvním krokem. V příštích měsících a letech budeme celé odvětví zkoumat kus po kuse a v celé Evropě a povedeme příslušná řízení podle GDPR."- Alan Dahi, právník zabývající se ochranou osobních údajů ve společnosti noyb.eu
