Németország szövetségi adatvédelmi törvényének (BDSG) javasolt felülvizsgálata lehetővé tenné az automatikus hitelpontozást, amely az EU-ban elterjedt gyakorlat, de jelenleg jogi bizonytalanságok övezik. Johannes Müller, a törvényjavaslatot támogató Ververbraucherzentrale Bundesverband (vzbv) német fogyasztóvédelmi szervezet szakpolitikusa szerint a felülvizsgálatot a következő hetekben véglegesíthetik, és valószínűsíthetően el is fogadják.

Az általános adatvédelmi rendelet (GDPR) értelmében tilos az olyan teljesen automatizált döntések meghozatala, amelyek „jelentősen érintik” az embereket, ennek ellenére az automatizált hitelpontozás széles körben használatos. Decemberben az Európai Unió Bírósága (EUB) úgy döntött, hogy jogellenes automatizált döntésnek tekinthető egy olyan jelentés automatikus generálása, amelynek a címzettek „meghatározó szerepet tulajdonítanak a hitelnyújtás során”. Az ítélet gyakorlatilag ellehetetleníti a külső félként dolgozó hitelkockázati pontszámítási szolgáltatókat, mivel nem tudhatják előre, hogy az ügyfelek hogyan fogják használni a jelentéseiket - mondta Enrique Velázques, a Fogyasztói Hitelinformációs Szolgáltatók Szövetségének (ACCIS) igazgatója. Németország felülvizsgálata bizonyos átláthatósági és adatfelhasználási követelmények teljesítéséhez kötné a pontozást. „Ez előrelépés, mert bizonyos adatkategóriákat kizár a pontozásból”, és segít a fogyasztóknak megérteni hogyan befolyásolja viselkedésük a pontszámot - mondta Müller.

Nem mindenki lelkesedik a német megközelítésért, mivel a biztosítékok bevezetése „nem árt, de nem is ad hozzá sokat” - mondta Marco Blocher, a Noyb, a Digitális Jogok Európai Központja nevű civil szervezet adatvédelmi jogásza. A törvényjavaslat által a hitelpontozás céljából történő feldolgozásból kizárt adatok nagy részének, ha nem az összesnek, már most is illegálisnak kellene lennie, így az új intézkedések közül több „csak megismétli a nyilvánvalót” - mondta.

A GDPR alapesetben tiltja a személyes adatok feldolgozását, de felsorolja azokat a konkrét körülményeket, amelyek mellett az engedélyezett. Az egyik ilyen jogalap a „jogos érdek”, egy olyan fogalom, amely lehetővé teszi az adatfeldolgozók számára az ilyen tevékenységek végzését, feltéve, hogy azokat nem „írják felül” az érintettek jogai. A felhasználókat tájékoztatni kell az ilyen adatkezelésről, és a tagállamok nem fogadhatnak el olyan jogszabályokat, amelyek beavatkoznak ebbe a mérlegelési tesztbe.

Blocher azonban úgy véli, hogy a német felülvizsgálat éppen ezt teheti, és formalizálhatja a személyes adatok bizonyos típusainak feldolgozását anélkül, hogy az adatfeldolgozók üzleti érdekei és a felhasználók jogai között egyensúlyt teremtene. "Ha a német jogalkotó azt mondja, hogy felhasználhatok egy adattípust a pontozáshoz, akkor természetesen előzetesen is gyűjthetem” - mondta. Szerinte ez lesz a hitelintézetek érve, és ez megnyitja a kapukat az adatgyűjtés előtt anélkül, hogy a cégek érdekei és a felhasználók jogai között egyensúlyt teremtene. Müller nem látja ezt problémának. Elmondta, hogy a GDPR tartalmaz egy olyan záradékot, amely lehetővé teszi a tagállamok számára az automatizált döntések engedélyezését, és mivel a vállalatok már most is a jogos érdekre hivatkoznak, a felülvizsgálat csökkentené a problémás adathasználatukat.

Az automatikus hitelminősítő cégek száma a tagállamok eltérő jogi rendszerei ellenére is növekedett Európában. Egyes adatvédelmi hatóságok, mint például az olasz adatvédelmi hatóság, vizsgálják, hogyan értelmezzék az EUB ítéletét, míg mások még nem dolgozták fel azt. Blocher szerint a hitelpontozó ügynökségek egész üzleti modellje „rendkívül problematikus”. Abból indulnak ki, hogy automatizálják azt, ami egyébként kézi munka lenne, és ezzel költségeket és időt takarítanak meg.

"Automatizált hitelbírálati eszközeink segítenek csökkenteni a manuális felülvizsgálati költségeket” - írja az Experian. „Hitelellenőrzés valós időben, az ügyfélút megszakítása nélkül” - írja az SCHUFA. Annak ellenére, hogy az Experian és a SCHUFA az automatizálással kapcsolatos állításokkal árulja ezeket a termékeket, az Experian és a SCHUFA célja, hogy a pontszámok használatáról szóló döntést az ügyfeleikre hárítsák, akiknek nem szabad „erősen” a pontszámra támaszkodniuk. Amikor azonban az SCHUFA megkérte ügyfeleit, hogy erősítsék meg ezt, az egyikük „abszurdnak” nevezte ezt, tekintettel arra, hogy támaszkodnak a pontszámra - számolt be a Süddeutsche Zeitung. Minél több adattal rendelkezik egy hitelügynökség, annál pontosbb hitelpontszámokat tud szolgáltatni, így ösztönözve van arra, hogy növelje adatgyűjtését. Blocher szerint azonban Németországban a lakosság kevesebb mint tíz százaléka produkál olyan fizetési mulasztási adatokat, amelyek problémamentesen felhasználhatók a hitelellenőrzéshez. Ezért - mondta - a legtöbb hitelügynökség további pénzügyi és nem pénzügyi adatokat gyűjt harmadik felektől és nyilvános címtáraktól anélkül, hogy tájékoztatná az érintetteket, illetve hogy az érintettek hozzájárulását megszerezné. "A CRIF megoldásai lehetővé teszik a folyamatok automatizálását és a teljes hitelezési tapasztalattal kapcsolatos döntéseket a saját és nyilvános adatok széles adatbázisának köszönhetően” - írja a CRIF. A SCHUFA „olyan információk gazdag tárházához fér hozzá, amelyek nem kutathatók a nyilvános adattárakban.” A vállalat folyószámlákra, hitelkártyákra, lízingszerződésekre, kölcsönökre és postai számlákra vonatkozó szerződéses adatokat használ, a fizetési mulasztásokra vonatkozó adatokon túl.

A nézeteltérések ellenére Blocher és az iparág képviselője, Velázques egyetértenek abban, hogy az európai szabályok harmonizálása a helyes út. A Bizottság július 25-én közzétett, a GDPR végrehajtásának második felülvizsgálata súlyos végrehajtási problémákat és az európai adatvédelmi hatóságok eltérő értelmezését állapította meg, és az eltérő gyakorlatok példájaként említette az automatizált döntéshozatalt. A Bizottság azonban nem javasolta a rendelet felülvizsgálatát, csupán annak jobb és összehangoltabb végrehajtását.