La Cnil (Commission Nationale de l'Informatique et des Libertés), Autorità Garante per la protezione dei dati personali in Francia, ha pubblicato recentemente un documento incentrato sull'uso dei dati personali nella valutazione del merito creditizio. Questo documento si inserisce nel contesto dell'applicazione del GDPR, l'attuale normativa europea per la protezione dei dati, e cerca di fornire linee guida chiare per il settore bancario-creditizio.
La valutazione del merito creditizio si basa sull’analisi di un insieme di dati riferiti al potenziale contraente. Questi dati, che vanno dal reddito all’andamento creditizio passato, permettono alle banche di prevedere la capacità di rimborso e di adottare decisioni su prestiti. Tuttavia, l’uso di tali dati comporta responsabilità specifiche, soprattutto in termini di rispetto della privacy e tutela del soggetto interessato.
Basi giuridiche e legittimità del trattamento dei dati
Secondo il documento pubblicato, l’utilizzo del merito creditizio deve conformarsi a una base giuridica solida. Questa può derivare da una base contrattuale, ovvero il soggetto che richiede il credito dà l’autorizzazione per l’analisi dei propri dati, oppure da obblighi giuridici, se il soggetto ha accettato in precedenza la gestione dati per scopi analoghi.
Qualora il trattamento dipenda da interessi legittimi, ad esempio la gestione del rischio creditizio, si rende necessaria una valutazione d’impatto in cui vengono verificate le misure di riduzione del rischio per il soggetto interessato. L’autorizzazione e la trasparenza sono fondamentali per garantire un’appropriata applicazione del trattamento dei dati.
Categorie di dati trattati
I tipi di dati utilizzati nella valutazione del merito creditizio seguono rigorosi protocolli di selezione, come stabilito dalla normativa. Oltre ai dati finanziari direttamente rilevanti – come reddito, mutui e prestiti – il documento mette in evidenza l’importanza di non utilizzare dati sensibili, come appartenenza religiosa, idee politiche, dati sanitari o giudiziari.
- I dati utilizzabili comprendono reddito effettivo, asset, debiti attuali
- Vietati sono i dati non direttamente legati al rischio finanziario
- Occorre verificare che l’insieme dei dati abbia una relazione logica con il merito credito
- Non è vietato utilizzare dati storici, purché siano aggiornati e verificati
Decisioni automatizzate e scoring intelligente
La Cnil ha ribadito la criticità delle decisioni automatizzate che influenzano direttamente la vita di una persona, come il rifiuto di un prestito. L’uso di algoritmi per valutare le candidature deve sempre includere una possibilità di intervento umano, garantendo al soggetto interessato il diritto di ottenere una decisione giustificata e di contestarla se necessario.
Un sistema automatizzato deve inoltre essere trasparente, spiegando come i dati influenzano la decisione e offrendo al soggetto la possibilità di capire la logica dietro la valutazione.
Conservazione e misure di sicurezza
La conservazione dei dati sensibili deve rispettare una durata limitata nel tempo, conforme al principio di rilevanza e necessarie. Una volta che i dati non siano più utili ai fini del merito creditizio, devono essere distrutti o anonimizzati in maniera non reversibile.
In ambito informatico, il documento sottolinea il ricorso a tecnologie di sicurezza avanzata, tra cui crittografia, gestione degli accessi limitata e monitoraggio continuo delle attività che coinvolgono dati sensibili.
Per prevenire il rischio di violazione, è obbligatorio adottare procedure di sicurezza come l'audit interno, la formazione dei dipendenti e la gestione dell’accesso ai dati sensibili.
L’informativa e il consenso
Ogni soggetto interessato deve ricevere un’informatica chiara su come i propri dati saranno trattati. L’informativa deve includere:
- Tipi di dati utilizzati
- Finalità specifiche del trattamento
- Chi ha accesso ai dati
- Durata del trattamento
- Diritto a contestare e a rettificare i dati
Inoltre, la validità del consenso richiede che tale sia espresso in maniera esplicita, attraverso un gesto volontario come la firma elettronica o la selezione di una casella. Non è sufficiente un accordo generale in un contratto.
Conclusioni
Il documento Cnil rappresenta un passo cruciale per il settore finanziario, fornendo un chiarimento normativo ma anche offrendo strumenti operativi per garantire la conformità con il GDPR. Le banche sono chiamate a bilanciare tra la gestione del rischio creditizio e il rispetto della privacy del cliente. Questo approccio, se applicato con rigore, garantisce equità, trasparenza e fiducia nella gestione del merito creditizio.