Em resumo
Vinte e quatro meses: para além disso não deveriam usar-se os incidentes de pagamento passados. Seis meses: quanto tempo se conservam os dados de quem não é cliente e viu o pedido recusado. A pontuação pode ser pedida com o acesso, acompanhada do que a torna compreensível. O segredo comercial pode limitar a resposta, não transformá-la numa recusa global.
Não existe direito ao crédito, existe dever de explicar
A CNIL parte de onde partiria um jurista: a liberdade contratual do artigo 1101.º do código civil. Ninguém é obrigado a conceder um empréstimo. Mas antes de o conceder há a obrigação de avaliar a solvabilidade, e essa avaliação trata dados pessoais.
As instituições podem recorrer a inteligência artificial ou a modelos estatísticos. A CNIL escreve que essas ferramentas «estão sujeitas ao RGPD: têm de ser transparentes, limitar os enviesamentos e não conduzir a discriminações», e que em qualquer caso a instituição continua responsável pela decisão e tem de conseguir explicar os principais critérios utilizados e as consequências do processo na situação da pessoa.
Os três números
- Vinte e quatro meses: a CNIL recomenda não usar os incidentes de pagamento passados para além desse prazo, salvo circunstâncias particulares.
- Seis meses: a quem não é cliente e recebe uma recusa podem conservar-se os dados do pedido durante seis meses, para tratar mais depressa um pedido posterior.
- Além disso, só para o contencioso: durante o prazo de prescrição aplicável, até ao fim de um processo em curso, e em condições de confidencialidade estritas.
Quanto aos incidentes, a CNIL acrescenta duas condições que se esquecem com facilidade. Só podem usar-se os que respondem a critérios objetivos, definidos com antecedência. E há que ter em conta o contexto: se foram contestados, se foram regularizados, se houve decisão judicial. Um incidente afastado por decisão definitiva já não pode entrar na avaliação.
A pontuação pede-se ao abrigo do artigo 15.º
O titular pode pedir para conhecer a sua pontuação, e a informação tem de chegar com os elementos que permitem compreendê-la — por exemplo os valores mínimo e máximo para obter o crédito. A CNIL é explícita: não pode ser a repetição do que já foi comunicado antes da avaliação, tem de ser precisa e personalizada.
O direito de acesso não é absoluto e o segredo comercial pode opor-se a parte da resposta. Mas «essa recusa não deve ser global e absoluta»: a instituição tem de se esforçar por dar seguimento ao pedido e responder na medida do possível, fornecendo o maior número de elementos.
O que olhar num cliente que faz scoring
O prazo com que se afastam os incidentes passados, e se está escrito nalgum sítio. A lista prévia dos tipos de incidente utilizáveis: se não existe, os critérios objetivos também não. O procedimento de resposta a um pedido de acesso à pontuação, e quem decide o que é coberto pelo segredo comercial. E os créditos que não se chamam créditos — pagamento fracionado, diferido, cartão com crédito renovável, descoberto: são crédito e podem desencadear a avaliação.
Procura uma ferramenta para o seu trabalho de EPD?
O DPO Workspace foi construído por um DPO certificado. 30 dias de experiência gratuita.
Começar gratuitamente
