Úverová agentúra má zakázané zhromažďovať údaje prostredníctvom žiadostí o prístup a občianskych registrov
Pred dvoma rokmi podala spoločnosť noyb sťažnosť na GDPR proti sprostredkovateľovi úverových údajov KSV 1870. Rakúska úverová agentúra uchovávala nevyžiadané údaje od predtým neznámych osôb, ktoré využili svoje zákonné právo na prístup k svojim údajom. Rakúsky úrad na ochranu údajov (DSB) teraz zverejnil svoje rozhodnutie vo veci: agentúra na poskytovanie úverových informácií nesmie zhromažďovať údaje prostredníctvom žiadostí o prístup a občianskych registrov.
Úverová kancelária uchováva údaje zo žiadostí o informácie. Európania majú právo podať spoločnostiam žiadosť o informácie, aby zistili, aké údaje sa o nich spracúvajú. Na potvrdenie totožnosti osoby spoločnosť často žiada ďalšie údaje: napríklad občiansky preukaz, meno, adresu alebo dátum narodenia. Samozrejme, spoločnosti môžu tieto dodatočné informácie použiť len na účely odpovede na žiadosť o prístup a potom ich musia opäť vymazať. To však nie je prípad vedúcej rakúskej agentúry na poskytovanie úverových informácií: KSV 1870 uchováva informácie o fyzických osobách, keď požiadajú o prístup k svojim údajom.
Systematický prístup spoločnosti KSV. Prístup KSV je systematický - dostali sme množstvo podobných prípadov. Dotknutá osoba podala na KSV žiadosť o prístup podľa článku 15 GDPR. Úverová agentúra odpovedala, že žiadne osobné údaje dotknutej osoby neboli spracúvané. Aspoň doteraz. KSV argumentovala, že dodatočné informácie, ktoré dotknutá osoba poskytla na účely uplatnenia svojho práva na prístup, budú teraz uložené v "podnikovej databáze". To však nie je všetko: predtým sa informácie o dotknutej osobe zo žiadosti o prístup porovnali s jej údajmi v centrálnom registri obyvateľov a pridali sa do podnikovej databázy.
"DSB nám dal za pravdu: Podnikateľský model spoločnosti KSV 1870, ktorý využíva žiadosti o informácie od dotknutých osôb na obohatenie svojej hospodárskej databázy, je nezákonný. Spracovanie akýchkoľvek ďalších informácií z registra obyvateľov je tiež jednoznačne nezákonné. Predpokladáme, že okrem osoby, ktorú zastupujeme, sa to týka nespočetného množstva ďalších Rakúšanov. Títo môžu od KSV požadovať vymazanie nezákonne spracovaných údajov." - Marco Blocher, právnik v oblasti ochrany osobných údajov, noyb.eu
DPA a noyb súhlasia: KSV koná nezákonne. Konanie KSV porušuje zásadu obmedzenia účelu podľa článku 5 ods. 1 písm. b) GDPR. V ňom sa uvádza, že údaje sa musia zhromažďovať na konkrétny účel. Ďalšie spracúvanie na iný účel je povolené len vtedy, ak je zlučiteľné s pôvodným účelom. ÚOÚ rozhodol, že na spracúvanie údajov žiadosti o prístup k úverovému ratingu neexistoval žiadny zjavný dôvod, ani zákonný mandát na všeobecné zhromažďovanie údajov. Okrem toho ÚOÚ nariadil vymazanie nezákonne získaných údajov.
noyb pozorne sleduje obchodníkov s údajmi. Odvetvia, ktorých hlavnou činnosťou je obchodovanie s údajmi, musia dodržiavať obzvlášť prísne normy, pokiaľ ide o ochranu údajov. Problémom je, že úverové kancelárie nie sú takmer nijako regulované: hoci môžu spracúvať len údaje, ktoré sú relevantné pre úverovú bonitu, neexistuje žiadna definícia toho, aké konkrétne informácie to zahŕňa. Keďže agentúry poskytujúce úverové informácie majú prístup k veľkému množstvu údajov, musia s nimi zaobchádzať mimoriadne zodpovedne.
