Granice obrade podataka u sistemima za kreditni rejting

Princip ograničenja svrhe kao temelj GDPR

Osnovni postulat Opšte uredbe o zaštiti podataka (GDPR) jeste princip ograničenja svrhe. On nalaže da se lični podaci moraju prikupljati u posebne, izričite i zakonite svrhe i da se ne smeju dalje obrađivati na način koji nije u skladu sa tim svrhama. U poslovnom svetu, ovo znači da kompanija koja dobije podatke za jednu namenu nema automatsko pravo da ih koristi za bilo šta drugo što joj padne na pamet.

Ovaj princip sprečava stvaranje nepreglednih baza podataka koje se koriste za profilisanje bez znanja ili pristanka pojedinca. Kada se podaci prikupljeni za direktni marketing, poput slanja kataloga ili promotivnih ponuda, preusmere ka agencijama za kreditni rejting, dolazi do suštinskog kršenja poverenja. Korisnik koji je pristao na primanje reklama nikada nije dao saglasnost da se na osnovu tih informacija procenjuje njegova finansijska pouzdanost.

Sudska praksa u Austriji, konkretno slučaj agencije CRIF, jasno pokazuje da pravni sistemi postaju sve rigorozniji prema ovakvim praksama. Sud je utvrdio da su marketing i kreditno ocenjivanje dve potpuno različite operacije sa drastično drugačijim posledicama po pojedinca. Dok marketing utiče na izbor proizvoda, kreditni rejting direktno utiče na sposobnost osobe da uzme kredit, iznajmi stan ili potpiše ugovor o pretplati.

Trgovina podacima između posrednika i agencija

Poslovni model mnogih kompanija oslanja se na kupovinu i prodaju podataka o adresama i navikama potrošača. Agencije za kreditni rejting često su koristile podatke koje su prikupili posrednici za potrebe adresiranja pošte, verujući da je takav izvor informacija legitiman. Međutim, Vrhovni sud je sada potvrdio da takva praksa nije u skladu sa zakonom, jer se izvorna svrha prikupljanja podataka ne poklapa sa svrhom njihove dalje obrade.

Ovakva praksa je godinama funkcionisala u sivoj zoni, gde su kompanije poput AZ Direct i CRIF razmenjivale ogromne količine informacija. Organizacija noyb je još 2021. godine pokrenula postupke pred nadležnim organima kako bi zaustavila ovu trgovinu. Iako su regulatorna tela i upravni sudovi već ranije donosili odluke protiv ovakvog postupanja, kompanije su nastavile sa radom, ignorišući naloge za ograničenje upotrebe podataka.

Ovaj slučaj ilustruje izazove sa kojima se suočavaju zaštitnici privatnosti kada se bore protiv velikih sistema. Čak i kada postoje pravosnažne odluke, kompanije često biraju da nastave sa spornim aktivnostima, nadajući se da će pravni procesi trajati dovoljno dugo da im se isplati rizik. Tek intervencija najviših sudskih instanci stavlja tačku na ovakve strategije, potvrđujući da trgovina podacima nije bila legalna ni u prošlosti.

Implikacije za kreditno ocenjivanje i potrošače

Kreditni rejting predstavlja ključni mehanizam u savremenoj ekonomiji, ali on mora biti zasnovan na relevantnim i zakonito pribavljenim podacima. Kada se u proces ocenjivanja uključe podaci koji nemaju veze sa finansijskom istorijom, poput marketinških profila, dolazi do distorzije rezultata. To može dovesti do nepravednog tretmana pojedinaca koji bivaju pogrešno klasifikovani kao visokorizični klijenti.

Odluka suda donosi olakšanje za milione građana čiji su podaci korišćeni bez pravnog osnova. Sada kada je potvrđeno da je prikupljanje podataka od strane adresnih posrednika za potrebe kreditnog rejtinga nezakonito, otvara se put za kolektivne tužbe. Potrošači koji su bili predmet ovakvog ocenjivanja mogu tražiti obeštećenje, što predstavlja značajan finansijski rizik za agencije koje su se oslanjale na ovaj model.

Očekivana kompenzacija od oko 500 evra po osobi šalje snažan signal tržištu. Ovo više nije samo pitanje usklađenosti sa propisima, već pitanje finansijske odgovornosti za štetu nanetu pojedincima. Kompanije će morati da preispitaju svoje izvore podataka i da osiguraju da svaka informacija u njihovim bazama ima jasnu pravnu osnovu i saglasnost korisnika.

Pravna borba kao mehanizam tržišne korekcije

Dugotrajni pravni sporovi, poput onih koje je vodio advokat Robert Haupt, pokazuju da je put do pravde u oblasti zaštite podataka često spor i naporan. Ipak, ovi postupci su neophodni za uspostavljanje jasnih pravila igre. Kada sudovi donesu konačnu presudu, ona postaje presedan koji obavezuje sve ostale učesnike na tržištu da promene svoje poslovanje.

Uloga organizacija za zaštitu prava potrošača, kao što je noyb, postaje ključna u ovim procesima. One pružaju pravnu podršku i organizuju kolektivne tužbe, čime se izjednačava odnos snaga između pojedinca i velikih korporacija. Bez ovakvog angažovanja, mnogi potrošači nikada ne bi saznali da su njihovi podaci zloupotrebljeni, niti bi imali resurse da se suprotstave moćnim agencijama.

Ovaj slučaj potvrđuje da se pravna sigurnost gradi kroz konkretne sudske odluke. Svaka pobeda na sudu smanjuje prostor za arbitrarnost i primorava kompanije da u svoje procese ugrade principe transparentnosti i odgovornosti. Za biznis sektor, ovo znači da ulaganje u usklađenost sa propisima nije samo trošak, već i neophodna strategija za izbegavanje dugoročnih pravnih rizika.

Budućnost obrade podataka u finansijskom sektoru

Nakon presude Vrhovnog suda, agencije za kreditni rejting moraju hitno da prilagode svoje baze podataka. To podrazumeva brisanje svih informacija koje su pribavljene od adresnih posrednika i reviziju algoritama za bodovanje. Ovakav proces će verovatno biti skup i tehnički zahtevan, ali je neizbežan ako kompanije žele da nastave sa radom u skladu sa zakonom.

Ovaj slučaj će verovatno uticati i na druge industrije koje se oslanjaju na profilisanje korisnika. Kompanije će morati da budu mnogo opreznije pri kupovini podataka od trećih lica. Provera porekla podataka postaje obavezan deo procesa 'due diligence', jer odgovornost za nezakonitu obradu snosi onaj ko podatke koristi, bez obzira na to od koga ih je pribavio.

Dugoročno gledano, ovo vodi ka zdravijem tržištu gde se poverenje gradi na transparentnosti. Potrošači će postati svesniji svojih prava, a kompanije će morati da razvijaju inovativne modele koji ne zadiru u privatnost na nedozvoljen način. Pravni okvir koji je postavljen u Austriji služi kao putokaz za ostatak Evrope u pogledu toga kako se štite prava pojedinaca u digitalnoj ekonomiji.

Zaključak i praktične pouke za poslovanje

Poslovni subjekti moraju shvatiti da podaci nisu roba kojom se može slobodno trgovati bez obzira na njihovo poreklo. Svaki podatak ima svoju istoriju i ograničenja u pogledu upotrebe. Ignorisanje ovih ograničenja vodi ka skupim sudskim sporovima, gubitku reputacije i obavezi plaćanja odštete, što može ozbiljno ugroziti poslovanje.

Za menadžere i vlasnike firmi, ključna pouka je da se fokus prebaci sa kvantiteta na kvalitet i zakonitost podataka. Umesto oslanjanja na upitne baze podataka, kompanije treba da grade direktan odnos sa svojim klijentima, zasnovan na jasnoj komunikaciji o tome zašto se podaci prikupljaju i kako će se koristiti.

Konačno, zaštita podataka prestaje da bude samo tehničko pitanje IT sektora i postaje strateško pitanje upravljanja rizikom. Kompanije koje na vreme prepoznaju važnost etičke obrade podataka biće u prednosti u odnosu na konkurenciju koja se oslanja na zastarele i nezakonite prakse. U svetu gde je poverenje najvrednija valuta, poštovanje privatnosti postaje ključni faktor dugoročnog uspeha.

Izvor: noyb · Fotografija: Pexels / Freepik (ilustracija)