RODO (ogólne rozporządzenie o ochronie danych) zapewnia każdemu prawo dostępu do informacji o tym, jakie dane są o nim przetwarzane, a także na jakiej podstawie podejmowane są decyzje w sposób zautomatyzowany – zwłaszcza takie, które mogą mieć wpływ prawny lub podobnie istotny na zainteresowaną osobę. W praktyce chodzi m.in. o ocenę zdolności kredytowej, scoringi w biurach informacji gospodarczej czy decyzje banków i firm pożyczkowych wydawane bez udziału człowieka.
Zgodnie z wyrokiem TSUE z 27.02.2025 r.:
„Osoba, której dane dotyczą, może żądać od administratora, aby ten wyjaśnił jej – w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie – procedurę i zasady zastosowane do zautomatyzowanego wykorzystania jej danych osobowych w celu uzyskania określonego wyniku, takiego jak profil zdolności kredytowej.”
Co to oznacza w praktyce?
Biuro informacji gospodarczej, bank czy inny podmiot, który korzysta z zautomatyzowanego podejmowania decyzji (np. scoring kredytowy), nie może ograniczyć się do lakonicznej odpowiedzi typu: „zastosowano algorytm, którego szczegółów nie udzielamy z powodu tajemnicy handlowej”. Musi przekazać konkretne, zrozumiałe wyjaśnienie, na podstawie jakich danych i według jakich zasad został przyznany dany scoring lub odmowa.
Jakie informacje MUSI ujawnić administrator przy profilowaniu kredytowym?
Według wyroku TSUE oraz przepisów RODO, przedsiębiorstwo (np. biuro informacji gospodarczej) ma obowiązek wyjaśnić osobie, której dane dotyczą, w sposób jasny i zrozumiały:
- Jakie dane osobowe zostały wykorzystane do oceny zdolności kredytowej (np. wiek, adres, historia płatności, źródła dochodu).
- Jakie były podstawowe zasady działania algorytmu/scoringu, czyli według jakich kryteriów i w jakim stopniu określone dane wpłynęły na wynik końcowy.
- Jak zmiana określonych danych mogłaby wpłynąć na rezultat (np. czy inny adres zamieszkania lub wyższy dochód zmieniłyby scoring).
- Wyjaśnienie, dlaczego dana osoba otrzymała taki, a nie inny wynik, jakie okoliczności miały decydujące znaczenie.
Ważne!
Nie chodzi o ujawnienie wszystkich szczegółów algorytmu (np. matematycznego wzoru czy całego kodu programu), ale o udzielenie rzetelnych informacji pozwalających zrozumieć logikę decyzji.
Przykład:
„Twoja ocena kredytowa została obniżona ze względu na częste zmiany miejsca zamieszkania oraz brak historii regularnych spłat zobowiązań w ostatnich 24 miesiącach. Główne czynniki decydujące o wyniku to: wiek (15%), stabilność adresu (25%), historia płatności (30%), dochód (30%). Zmiana któregokolwiek z tych elementów mogłaby wpłynąć na końcową ocenę”.
Tajemnica przedsiębiorstwa i prawa osób trzecich – czy są granicą Twoich uprawnień?
Czy biuro informacji gospodarczej może powołać się na tajemnicę przedsiębiorstwa?
Nie może odmówić przekazania jakichkolwiek informacji tylko dlatego, że metody scoringowe lub część informacji stanowią tajemnicę przedsiębiorstwa. Trybunał wyraźnie podkreślił, że nie wolno całkowicie odmawiać dostępu do istotnych informacji – należy natomiast zachować proporcjonalność i przekazać wszystko, co nie narusza istoty tajemnicy.
W wyjątkowych przypadkach, jeżeli wyjaśnienie logiki scoringu faktycznie wymagałoby ujawnienia szczegółów chronionych prawnie (np. unikalnego know-how algorytmicznego, które stanowi wartość rynkową firmy) – to informacje te powinny być ujawnione najpierw organowi nadzorczemu (np. Prezesowi UODO) lub sądowi, który rozstrzygnie, czy i w jakim zakresie mogą być przekazane zainteresowanej osobie.
Jak wygląda to w praktyce?
Biuro nie powinno odpowiadać w stylu:
„Nie możemy przekazać informacji, bo to tajemnica handlowa”.
Może natomiast – jeśli to konieczne – przekazać część informacji w sposób ograniczony (np. ogólnikowy opis zasad, a nie pełny algorytm) lub poprosić organ nadzorczy o ocenę, które informacje mogą być ujawnione.
Co z danymi innych osób?
Jeżeli weryfikacja scoringu wymagałaby porównania Twojego przypadku z danymi innych osób (np. statystykami scoringu dla podobnych osób z tego samego regionu), to nie masz prawa do otrzymania szczegółowych danych osobowych innych osób. W takiej sytuacji, dane osób trzecich mogą być ujawnione wyłącznie organowi nadzorczemu lub sądowi, który wyważy prawa obu stron i zdecyduje, w jakim zakresie mogą być ujawnione Tobie – np. w formie danych pseudonimizowanych, agregatów czy statystyk.
Praktyczne przykłady zastosowania prawa do informacji o profilowaniu
Przykład 1 – odmowa kredytu ratalnego
Pan Adam z Łodzi starał się o kredyt ratalny w sklepie AGD. Otrzymał odmowę bez wyjaśnienia. Składając wniosek do biura informacji gospodarczej, w odpowiedzi otrzymał jedynie informację, że „nie spełnił wymogów scoringu kredytowego”. Po powołaniu się na art. 15 ust. 1 lit. h) RODO oraz wyrok TSUE, Adam uzyskał szczegółowe wyjaśnienie:
- Ocenie podlegały: wiek, liczba zapytań kredytowych, historia spłat, miejsce zamieszkania i rodzaj zatrudnienia.
- Decydujące okazały się: nieregularne spłaty rat w ciągu ostatnich 2 lat oraz częsta zmiana adresu.
- Biuro wskazało, jak poprawa stabilności zamieszkania i regularnych spłat mogłaby wpłynąć na podwyższenie scoringu.
- Część informacji o szczegółowych wagach pozostała niejawna, jednak Adam uzyskał pełne zrozumienie, na czym polegała negatywna decyzja.
Przykład 2 – wykorzystanie praw przez przedsiębiorcę
Firma Kancelaria IT Solutions Sp. z o.o. z Gdańska zauważyła spadek wiarygodności w biurze informacji gospodarczej po błędnej informacji o nieterminowej płatności wobec kontrahenta. Po złożeniu wniosku o wyjaśnienie:
- Otrzymała informację, jakie dane były podstawą negatywnej oceny.
- Poznała ogólne zasady działania systemu scoringowego.
- Biuro informacji gospodarczej musiało przekazać dane dotyczące ocenianych parametrów, a także wskazać, co decydowało o końcowej ocenie.
- Spółka mogła wykazać niezgodność danych i wnioskować o sprostowanie.
Co zrobić, jeśli administrator odmawia pełnej informacji?
- Złóż pisemny wniosek o udzielenie informacji (powołując się na art. 15 RODO i wyrok TSUE C-203/22).
- Jeśli uzyskasz odpowiedź odmowną lub niewystarczającą, złóż skargę do Prezesa UODO (Urząd Ochrony Danych Osobowych) lub rozważ postępowanie sądowe.
- Jeśli w grę wchodzą tajemnice przedsiębiorstwa lub dane innych osób – organ nadzorczy lub sąd dokonają oceny, czy i w jakim zakresie informacja powinna być ujawniona Tobie.
- Zawsze masz prawo do przejrzystego, zrozumiałego wyjaśnienia, które pozwala Ci skutecznie zakwestionować automatyczną decyzję.
Najważniejsze wnioski – podsumowanie
- Masz prawo żądać rzetelnego i zrozumiałego wyjaśnienia zasad profilowania oraz wpływu Twoich danych na wynik scoringu.
- Administrator nie może zasłaniać się ogólną „tajemnicą handlową” – powinien przekazać wszystko, co nie narusza istoty tej tajemnicy, a w razie wątpliwości zwrócić się do organu nadzorczego lub sądu.
- Nie przysługuje Ci prawo do szczegółowych danych osobowych innych osób – mogą one być ujawnione wyłącznie organom nadzorczym lub sądom, które dokonają wyważenia interesów.
- Jeśli informacja o Twoim scoringu jest nieprawidłowa lub niejasna, żądaj wyjaśnienia i rozważ skargę do UODO lub sądu.
- Wyrok TSUE z 27 lutego 2025 r. wyraźnie wzmacnia prawa osób poddawanych automatycznemu scoringowi – warto znać swoje uprawnienia i z nich korzystać.
Podstawa prawna
- art. 15 ust. 1 lit. h), art. 22, art. 23 RODO – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych
- art. 2 pkt 1, art. 9 Dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/943 z dnia 8 czerwca 2016 r. w sprawie ochrony niejawnego know-how i niejawnych informacji handlowych
- Wyrok TSUE z dnia 27 lutego 2025 r., C-203/22
Tematy porad zawartych w poradniku
- prawo dostępu do informacji o scoringu RODO
- profilowanie kredytowe a tajemnica przedsiębiorstwa
- scoring kredytowy wyjaśnienie praw RODO
- odmowa kredytu a prawo do informacji
- ochrona danych osobowych w biurach informacji gospodarczej
Przydatne adresy urzędowe
- Urząd Ochrony Danych Osobowych: https://uodo.gov.pl/
- Trybunał Sprawiedliwości UE: https://curia.europa.eu/
- Portal RODO: https://www.gov.pl/web/rodo
- Ministerstwo Cyfryzacji (informacje o profilowaniu): https://www.gov.pl/web/cyfryzacja