Regulamentul european privind protectia datelor personale (GDPR) schimba doua elemente esentiale in cazul raportarii clientilor bancilor si IFN-urilor la Biroul de Credit:

1. Raportarea la Biroul de Credit se face automat, fara a mai fi nevoie de consimtamantul clientilor

Cei care obtin imprumuturi de la banci si IFN-uri sunt acum raportati automat la Biroul de Credit, fara a mai fi nevoie de acordul (consimtamantul) lor, cum s-a procedat pana acum, in baza interesului legitim. Asta pentru ca GDPR pune pe picior de egalitate consimtamantul cu interesul legitim, acesta din urma fiind doar o exceptie de la fosta lege romaneasca de protectie a datelor personale, care obliga bancile sa obtina consimtamantul clientilor pentru raportare. Biroul de Credit a obtinut de la Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (ANSPDCP) dreptul de a aplica principiul interesului legitim in privinta raportarii celor care obtin imprumuturi de la banci si IFN-uri.

De ce a ales Biroul de Credit varianta interesului legitim, adica raportarea automata a clientilor? Serban Epure, directorul general al Biroului de Credit, a explicat astazi, in cadrul unei conferinte de presa:

“Din 25 mai 2018, Biroul de Credit nu mai lucreza in baza consimtamantului persoanei vizate, ci in baza interesului legitim, drept recunoscut de ANSPDCP. De ce nu mai putem lucra la fel ca pana acum? Legea 677 din 2001 pentru protecţia persoanelor cu privire la prelucrarea datelor cu caracter personal prevedea consimtamantul, iar interesul legitim era exceptie de la lege. Acum, in Regulament consimtamanul si interesul legitim sunt sunt optiuni egale. Numai ca, potrivit Regulamentului, consimtamantul trebuie sa fie liber exprimat, ori cadrul legal impune ca bancile si IFN-urile sa consulte Biroul de Credit in vederea incheierii contractelor de credit, cu scopul verificarii bonitatii si gradului de indatorare al clientilor, in vederea administrarii riscurilor. Tot Regulamentul spune ca persoanele isi pot retrage consimtamantul si implicit si datele inregistrate la Biroul de Credit. Ceea ce inseamna ca practic nu am mai putea lucra, pentru ca, de exemplu, orice restantier si-ar putea sterge datele de la Biroul de Credit, iar apoi sa se prezinte curat la o banca pentru a obtine un nou imprumut, cu consecintele de rigoare: supraindatorare, cresterea riscului de credit si a costului creditului, limitarea accesului la creditare.”

In concluzie, ceea ce s-a schimbat, de fapt, este simplificarea birocratiei in privinta raportarii la Biroul de Credit, intrucat si pana acum clientii bancilor si IFN-urilor erau obligati de fapt, sa accepte raportarea la Biroul de Credit, daca voiau sa obtina un credit, prin semnarea unui acord (consimtamant), pe cand acum nici nu mai e nevoie de acea semnatura, raportarea facandu-se automat.

Daca in privinta utilitatii si implicit a obligatiei raportarii datelor personale la Biroul de Credit lucrurile sunt clare, se poate ridica problema sigurantei si modului in care bancile si IFN-urile utilizeaza datele personale la care au acces prin Biroul de Credit.

In ce scopuri pot utiliza bancile si IFN-urile datele personale ale clientilor din Biroul de Credit? De exeplu se pot folosi pentru a se trimite promotii si oferte de produse si servicii?

Serban Epure nu s-a aratat aici prea sigur: mai intai el a spus ca este incorect sa se utilizeze datele in acest scop. Cand l-am intrebat daca este si ilegal, a raspuns ca “este posibil sa fie si ilegal”, ca in final sa afirme ca datele din Biroul de Credit nu trebuie utilizate decat in scopul prevazut, adica de verificare a eligibilitatii clientilor in vederea acordarii creditelor.

Ceea ce este firesc si probabil ca bancile au procedat asa si pana acum, fara a abuza de datele de la Biroul de Credit pentru a trimite oferte clientilor altor banci. In acest scop, bancile pot obtine acordul acestora prin mijloace proprii.

2. Obligatia de informare prealabila inaintea raportarii la Biroul de Credit

A doua schimbare importanta adusa de GDPR in cazul Biroului de Credit este aceea ca acum bancile si IFN-urile nu mai sunt obligate legal sa-si informeze clientii cu 15 zile inainte de raportarea la Biroul de Credit, asa cum a stabilit ANSPDCP in Decizia 105 din 2007, intrucat aceasta decizie nu se mai aplica, odata cu intrarea in vigoare a Regulamentului european GDPR.

Cu toate acestea, Biroul de Credit, impreuna cu Asociatia Romana a Bancilor (ARB) au decis sa-si asume in continuare aceasta obligatie, care a fost introdusa intr-un Cod de Conduita al ARB pentru prelucrarea datelor in Biroul de Credit, conform prevederilor Regulamentului, aflat in prezent la avizat de ANSPDCP. De asemenea, aceasta obligatie ar putea fi introdusa si in viitoarea lege pentru aplicarea DGPR, aflata in prezent in stadiul de proiect in dezbaterea Parlamentului.

Biroul de Credit a decis sa mentina si alte dispozitii ale Deciziei ANSPDCP, precum cea privind frecventa raportarii datelor la Biroul de Credit, adica in fiecare luna de intarziere, cu toate ca, in opinia directorului Serban Epure, “nu ar trebui sa fie mai mult de 3-4 raportari”.

ANSPDCP a constatat ca “nu există o practică unitară a participanţilor la biroul de credit (bănci sau instituţii financiare nebancare) cu privire la menţiunile efectuate în cadrul unor secţiuni din cadrul raportului de credit sau cu privire la frecvenţa transmiterii datelor (ex. date negative, valoarea lunară programată)”.

Informarea clientilor in prealabil cu privire la raportarea la Biroul de Credit este importanta, intrucat reprezinta in motiv principal pentru reclamatiile clientilor bancilor.

Intensificarea creditarii din ultimii ani a dus la inmultirea reclamatiilor la adresa Biroului de Credit, in conditiile in care multi oameni au constatat ca nu pot obtine un nou imprumut pentru ca se afla in baza de date cu rau-platnici, ceea ce a determinat si aparitia unor afaceri cu stergerea datelor din Biroul de Credit.

Serban Epure a amintit de acest fenomen si a avertizat ca scopul acestora este unul comercial, de a lua banii oamenilor, ascuns sub poleiala de aparare a drepturilor consumatorilor, cu toate ca mai au si rezultate, intrucat este normal sa existe si greseli facute de banci, de care sa se profite. Mai mult, el considera ca GDPR le va oferi acestor intreprinzatori “o paine mai buna de mancat, pentru ca Regulamentul este dificil de interpretat si de aplicat”.

Pe de alta parte, aceste afaceri, in care sunt implicati chiar si angajati sau colaboratori ai bancilor, dupa cum a constatat Bancherul.ro, nu ar fi inflorit daca bancherii ar fi fost mai atenti cu aceste probleme ale raportarii la Biroul de Credit si ar fi creat mecanisme si solutii pentru rezolvarea rapida si eficienta, pe cale amiabila, a reclamatiilor.

Biroul de Credit face acum un pas in aceasta directie, prin lansarea unei aplicatii, pe site-ul propriu, Birouldecredit.ro, la care clientii bancilor si IFN-urilor pot cere nu doar raportul privind informatiile cu care sunt inscrisi, dar pot face si reclamatii la adresa bancilor, in care pot solicita stergerea datelor, daca apreciaza ca acestea au fost raportate ilegal.

Cazurile de raportare ilegala sunt in principal cele privind neinformarea inainte de raportarea la Biroul de Credit sau raportarea unor date eronate, conform unui raspuns al ANSPDCP trimis Bancherul.ro:

“În urma investigaţiilor efectuate, în multe cazuri s-a constatat faptul că operatorii au încălcat prevederile Legii nr. 677/2001 şi ale Deciziei nr. 105/2007 cu privire la prelucrările de date cu caracter personal efectuate în sisteme de evidenţă de tipul birourilor de credit, în vigoare din luna februarie 2008, în special în ceea ce priveşte lipsa unei informări prealabile cu privire la transmiterea datelor negative la biroul de credit, cu 15 zile anterior raportării, conform Deciziei 105/2007, conţinutul incomplet al notificărilor prealabile, nerespectarea termenului de transmitere a datelor raportat la data scadenţei (după 30 de zile) şi exactitatea datelor transmise.”

Seful Biroului de Credit a mai precizat ca bancile au un termen de 30 de zile pentru a raspunde la reclamatiile privind raportarea la Biroul de Credit, fata de maxim 15 zile cat era stabilit anterior de ANSPDCP.

De asemenea, desi cererea de stergere a datelor se poate face prin aplicatia de pe site-ul Biroului de Credit, clientii primesc raspunsul nu tot in aplicatia respectiva, ci direct de la banca.

Vezi in CLUBUL BANCHERILOR mai multe informatii din cadul conferintei de presa a Biroului de Credit si prezentarea cu privire la impactul ANSPDCP.