Profilowanie w kontekście oceny zdolności kredytowej – kara dla banku

Sprawa dotyczyła niemieckiego banku, który automatycznie odrzucił wniosek swojego klienta o wydanie karty kredytowej. Bank podjął tę decyzję, dokonując profilowania klienta (oceniając jego zdolność kredytową na podstawie takich danych osobowych jak dane o dochodach i zawodzie). Klient miał zastrzeżenia do decyzji, a nie mógł poznać jej uzasadnienia. Bank poinformował go jedynie o ogólnych zasadach scoringu, nie odnosząc ich jednak do konkretnego przypadku. W szczególności bank nie podał na podstawie jakich danych odmówił wydania karty kredytowej. Dlatego klient złożył skargę do berlińskiego organu nadzorczego.

Obowiązkiem administratora w związku ze zautomatyzowanym przetwarzaniem danych w tym profilowaniem jest wdrożenie właściwych środków ochrony praw, wolności i prawnie uzasadnionych interesów podmiotu danych. Chodzi tu o prawo do:

• uzyskania interwencji ludzkiej ze strony administratora,

• wyrażenia własnego stanowiska,

• zakwestionowania tej decyzji.

Jak ustalił niemiecki organ nadzorczy, bank tych uprawnień wobec swojego klienta nie zrealizował. Uzasadnienie odmowy przyznania karty kredytowej było bowiem lakoniczne i właściwie uniemożliwiało klientowi zakwestionowanie decyzji banku. Administratorowi zarzucono też naruszenie reguły przejrzystości i nieudzielenie informacji o zautomatyzowanym przetwarzaniu danych (art. 15 ust. 1 lit. h RODO).