Nizozemský dozorový úřad pro ochranu osobních údajů Autoriteit Persoonsgegevens (AP) uložil
společnosti Experian Nederland pokutu 2,7 milionu eur za porušení GDPR.
Experian je úvěrově-informační a analytická společnost, která pro své zákazníky typicky sestavuje
zprávy o úvěruschopnosti a přiděluje tzv. credit score, které má vyjádřit pravděpodobnost, že
člověk bude své závazky řádně platit. Smysl takové služby je následující. Klienti Experianu, kterými
jsou typicky telekomunikační operátoři, dodavatelé energií, e-shopy nebo pronajímatelé potřebují
rychle odhadnout riziko neplacení svých klientů a podle toho nastavit podmínky smlouvy,
například požadovanou zálohu, možnost splátek nebo samotné schválení služby. Aby Experian
mohl skóre vypočítat, shromažďoval a kombinoval osobní údaje z více zdrojů, včetně veřejných
registrů a datových dodávek od externích firem, a z těchto vstupů vytvářel rozsáhlou databázi a
následné úvěruschopnostní reporty.
AP začal věc prověřovat po stížnostech spotřebitelů, kteří popisovali, že po nich poskytovatelé
služeb žádali nezvykle vysoké kauce nebo jim odmítali splátkové režimy, aniž by byli informováni,
že v pozadí proběhla kontrola založená na scoringu třetí strany. Podle závěrů AP Experian získával
údaje z veřejných i neveřejných zdrojů, a vytvořil databázi s údaji o milionech obyvatel
Nizozemska. Klíčovým problémem byla transparentnost. Lidé nebyli dostatečně informováni o
tom, že se jejich údaje pro tyto účely zpracovávají, a fakticky tak neměli příležitost zkontrolovat
správnost podkladů nebo uplatnit související práva dříve, než se skóre promítlo do podmínek
smlouvy. Druhým jádrem sporu byla zákonnost a rozsah zpracování. AP zpochybnil, zda Experian
pro daný model prokázal vhodný právní titul, zejména zda bylo možné opřít se o oprávněný zájem,
když nebylo dostatečně doloženo, že konkrétní rozsah a typy údajů jsou pro posouzení
úvěruschopnosti skutečně nezbytné, nikoli pouze „užitečné“. Do hodnocení se promítla i otázka
přiměřenosti doby uchování, kdy úřad kriticky nahlížel na dlouhé retenční lhůty vycházející ze
starších oborových zvyklostí, dle kterých Experian postupoval.
Experian podle dostupných informací porušení uznal, proti pokutě se neodvolal a avizoval
smazání příslušné databáze osobních údajů v průběhu tohoto roku.