In breve
Ventiquattro mesi: oltre non si dovrebbero usare gli incidenti di pagamento passati. Sei mesi: quanto si conservano i dati di chi non è cliente e si è visto rifiutare. Il punteggio si può chiedere con l'accesso, accompagnato dagli elementi che lo rendono comprensibile. Il segreto commerciale può limitare la risposta, non renderla un rifiuto globale.
Non esiste un diritto al credito, esiste un dovere di spiegare
La CNIL parte da dove partirebbe un avvocato: la libertà contrattuale dell'art. 1101 del codice civile. Nessuno è obbligato a concedere un prestito. Ma prima di concederlo c'è l'obbligo di valutare la solvibilità, e quella valutazione tratta dati personali.
Gli istituti possono usare intelligenza artificiale o modelli statistici. La CNIL scrive che quegli strumenti «sono soggetti al GDPR: devono essere trasparenti, limitare i pregiudizi e non condurre a discriminazioni», e che in ogni caso l'istituto resta responsabile della decisione e deve essere in grado di spiegare i criteri principali usati e le conseguenze del processo sulla situazione della persona.
I tre numeri
- Ventiquattro mesi: la CNIL raccomanda di non usare gli incidenti di pagamento passati oltre quel termine, salvo circostanze particolari.
- Sei mesi: chi non è cliente e riceve un rifiuto può vedersi conservare i dati della domanda per sei mesi, per trattare più in fretta una domanda successiva.
- Oltre, solo per il contenzioso: durata della prescrizione applicabile, fine del procedimento in corso, e in condizioni di riservatezza rigorose.
Sugli incidenti la CNIL aggiunge due condizioni che si dimenticano facilmente. Vanno usati solo quelli che rispondono a criteri oggettivi, definiti in anticipo. E va considerato il contesto: se sono stati contestati, se sono stati regolarizzati, se c'è stata una decisione giudiziaria. Un incidente scartato da una decisione definitiva non può più entrare nella valutazione.
Il punteggio si chiede con l'art. 15
L'interessato può chiedere di conoscere il proprio punteggio, e l'informazione deve arrivare con gli elementi che permettono di capirlo — per esempio i valori minimo e massimo per ottenere il credito. La CNIL è esplicita: non può essere la ripetizione di quanto già comunicato prima della valutazione, deve essere precisa e personalizzata.
Il diritto di accesso non è assoluto e il segreto commerciale può opporsi a una parte della risposta. Ma «questo rifiuto non deve essere globale e assoluto»: l'istituto deve sforzarsi di dare seguito alla domanda e rispondere nei limiti del possibile, fornendo il maggior numero di elementi.
Cosa guardare in un cliente che fa scoring
Il termine con cui vengono scartati gli incidenti passati, e se è scritto da qualche parte. L'elenco preventivo dei tipi di incidente utilizzabili: se non esiste, i criteri oggettivi non ci sono. La procedura di risposta a una richiesta di accesso al punteggio, e chi decide che cosa è coperto dal segreto commerciale. E i crediti che non si chiamano crediti — pagamento frazionato, differito, carta con riserva, scoperto di conto: sono crediti e possono far scattare la valutazione.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
