IT@BANK. Bankowość: Do kogo należą dane?

W tym roku szerokim echem odbił się w mediach wyrok Naczelnego Sądu Administracyjnego, który 27 sierpnia 2019 r. oddalił skargę kasacyjną od wyroku Wojewódzkiego Sądu Administracyjnego II SA/Wa 2221/16 w Warszawie i przychylił się do oceny, że gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy z bankiem, nie ma przesłanek ustawowych legalizujących dalsze przetwarzanie przez bank danych osobowych klienta, któremu np. nie udzielono kredytu.

Ten wyrok to element szerszej dziś dyskusji o tym, kto i w jaki sposób zbiera i korzysta ze zgromadzonych danych. Dziś w coraz większym stopniu, również w branży finansowej, korzysta się z uczenia maszynowego i sztucznej inteligencji do przetwarzania posiadanych informacji. To, jak efektywne mogą być te technologie, np. ograniczając fraudy, poprawiając efektywność scoringu klientów, zależy od jakości i liczby danych, z których korzystają.

Sprzeczność nie tylko interesów

Nikt tego nie kwestionuje. W jakiejś mierze stoi to w sprzeczności z oczekiwaniem, by ograniczać przetwarzanie danych osobowych, w tym nawet tych zanonimizowanych. Obecnie sugeruje się nawet, żeby wprowadzić obowiązek wyjaśnienia konsumentom, jak pozyskiwane od nich informacje są wykorzystywane i jakiemu celowi służą. Klienci chcą bowiem wiedzieć, dlaczego i na podstawie jakich danych automat (algorytm) w banku podejmuje decyzję kredytową i dlaczego tak, a nie inaczej, ocenia ryzyko z nim związane. Niewykluczone też, że na ten poziom relacji banków, i nie tylko, z klientami będzie musiał wkroczyć regulator.

Dane spersonalizowane zgodnie z obowiązującym obecnie prawem należą do konsumenta. Dziś natomiast najcenniejsze informacje o nich generują algorytmy. Pojawiła się nawet propozycja, by wiadomości, tworzone na podstawie zebranych o konsumentach i zanonimizowanych faktów, stanowiły dobro wspólne z powszechnym dostępem do nich. Obecnie najwięksi gracze na rynku, mając dostęp do dużych baz danych, zyskują przewagę konkurencyjną i wszystko wskazuje na to, że ta tendencja będzie się w najbliższych latach nasilać.

Zasada ochrony danych osobowych w Unii Europejskiej ma zastosowanie do europejskich organizacji przetwarzających dane osobowe osób fizycznych, funkcjonujących w 28 państwach członkowskich oraz na Islandii, w Liechtensteinie i Norwegii. Ale także do organizacji spoza UE kierujących swoją ofertę do mieszkańców Unii. Przyjęto w niej, że w przypadku zautomatyzowanego podejmowania decyzji oraz profilowania osoby fizyczne nie podlegają postanowieniu opartemu wyłącznie na zautomatyzowanym przetwarzaniu informacji. Są jednak pewne wyjątki od tej zasady, np. sytuacja, gdy zautomatyzowane podejmowanie ...