Austrijski sud je zaključio da je kreditno bodovanje samo po sebi odluka te da se pravila o automatiziranom donošenju odluka primjenjuju na kreditno bodovanje ako se provodi automatski. Zbog toga se smatralo da kreditna agencija obrađuje podatke kršeći GDPR te mu je naloženo brisanje podataka ispitanika.
Godine 2024. ispitanik je podnio pritužbu austrijskom nadzornom tijelu (DPA) u vezi s pravom na brisanje pohranjenih podataka o povijesti plaćanja.
Voditelj obrade, agencija za kreditno izvještavanje, ažurirao je kreditni rezultat ispitanika nakon izvansudskog postupka 2019. godine. Zahtjev ispitanika za kredit odbijen je na temelju toga što su banke primile informaciju „Vrijednost rezultata 0 - izračun nije moguć“ prilikom traženja informacija o ispitaniku. Ova vrijednost bila je pogreška jer voditelj obrade nije mogao ispravno dodijeliti numeričku vrijednost izvansudskom postupku. Unosi koje su analizirali Agencija za zaštitu podataka i Sud bili su oni o završetku izvansudske nagodbe i „Vrijednost rezultata 0: Izračun nije moguć“.
U svojoj odluci, DPA je primijenio obrazloženje sudske prakse Suda EU (slučaj SCHUFA) kako bi zaključio da obrada povijesti plaćanja također predstavlja ozbiljno miješanje u temeljno pravo na privatnost i zaštitu podataka (članci 7. i 8. CFREU). DPA je zatim primijenio nacionalno pravo o rokovima u obradi podataka povezanih s postupcima insolventnosti, tvrdeći da je voditelj obrade trebao izbrisati podatke koji se odnose na izvansudsku nagodbu. Nebrisanjem tih informacija voditelj obrade je prekršio pravo ispitanika na brisanje prema članku 17. GDPR-a.
Voditelj obrade je osporio obrazloženje DPA-a i podnio žalbu Saveznom upravnom sudu. Voditelj obrade je tvrdio da se slučaj SCHUFA ne primjenjuje jer se odnosi na javno dostupne podatke. Također je tvrdio da obrada podataka nije ozbiljno zadiranje u temeljna prava ispitanika.
Presuda
Sud je potvrdio odluku DPA-a u vezi s automatiziranom obradom, ali je odbacio obrazloženje o obradi povijesti plaćanja.
Sud je potvrdio argumente voditelja obrade i naveo da se činjenice ovog slučaja razlikuju u bitnim elementima od SCHUFA-e. Zaključio da je obrada valjana prema članku 6 (1) (f) GDPR-a jer voditelj obrade te podatke stavlja na raspolaganje ograničenom broju osiguravajućih društava koja daju zajmove. Sud je također smatrao da učinak ove obrade nije bio štetan za ispitanika, jer su nakon izvansudskog postupka uspjeli sklopiti dva ugovora o leasingu.
U svojoj analizi vrijednosti nultog rezultata, Sud je smatrao da je ona odigrala odlučujuću ulogu u odluci o odobravanju kredita. To potvrđuje činjenica da je banka odbila kredit upravo zbog poruke o pogrešci. Stoga bi se to smatralo pravnim ili sličnim učinkom u skladu s člankom 22 (1) GDPR-a.
Sud je također naveo da obrada koju provodi voditelj obrade spada u opseg profiliranja na temelju SCHUFA-e i članka 4(4) GDPR-a. Nadalje, postojao je rizik od zaobilaženja članka 22 i prava ispitanika ako bi se on usko tumačio i primjenjivao samo na treću stranu koja donosi odluku. Primjer je, pravo podnijeti zahtjev prema članku 15 (1) (h) GDPR-a jer treća strana koja donosi tu odluku ne bi mogla objasniti kako je kreditna agencija došla do tog zaključka.
Na kraju, Sud je analizirao primjenjuju li se iznimke koje dopuštaju obradu (članak 22 (2) GDPR-a). U ovom slučaju nijedna od iznimki se ne primjenjuje. Osim toga, Sud je naveo da voditelj obrade nije zakonito obradio podatke i nije postupio u dobroj vjeri. Važno je napomenuti da je prema Sudu izračun kreditnog rezultata od strane kreditne agencije i dalje dopušten. Međutim, on ne smije imati odlučujuću ulogu u određivanju kreditne sposobnosti, kao što je vidljivo u slučaju SCHUFA.
Sud je naložio voditelju obrade da izbriše unos poruke o pogrešci u skladu s člankom 17 (1) GDPR-a.
O automatiziranoj obradi podataka već smo pisali na našem blogu.
