GDPR a půjčky: co smí poskytovatel s vašimi daty

GDPR je zkratka obecného nařízení o ochraně osobních údajů — evropského předpisu, který od roku 2018 sjednocuje pravidla nakládání s osobními údaji napříč celou Evropskou unií. Určuje, za jakých podmínek smí firmy a instituce zpracovávat data o lidech, jaké mají povinnosti a jaká práva náležejí těm, jejichž údaje se zpracovávají. V Česku ho doplňuje zákon č. 110/2019 Sb., o zpracování osobních údajů, který upřesňuje některé národní otázky.

Právě u půjček se GDPR dotýká citlivé oblasti. Při žádosti o úvěr předáváte poskytovateli mimořádně osobní informace — jméno a rodné číslo, výši a zdroj příjmů, výpisy z účtu, přehled svých dluhů a platební historii. Tyto údaje putují nejen k samotnému věřiteli, ale i do sdílených úvěrových registrů, kam nahlížejí další subjekty. GDPR určuje, kdo z toho smí co vidět, na jakém základě a jak dlouho — a co s tím můžete udělat vy.

Ochrana dat u půjček není odtržená od ostatních práv, která u úvěru máte. Zapadá do širší oblasti zákony a práva, kde vedle GDPR najdete i pravidla o smlouvě, sankcích nebo odstoupení. Pochopení toho, jak se s vašimi daty zachází, patří k základní finanční sebeobraně stejně jako umění přečíst si smlouvu — jen se týká něčeho méně viditelného než čísel na papíře.

Rozsah dat, která věřitel při žádosti o půjčku shromáždí, je širší, než se na první pohled zdá. Nejde jen o kontakt a jméno — poskytovatel potřebuje ucelený obraz vaší finanční situace, aby mohl posoudit, zda si půjčku můžete dovolit. Zpracovávané údaje se dají rozdělit do několika okruhů.

• Identifikační údaje — jméno a příjmení, datum narození, rodné číslo, adresa, číslo dokladu totožnosti, kontaktní telefon a e-mail. Slouží k jednoznačnému určení, s kým smlouvu uzavírá, a k plnění povinností při ověření totožnosti.
• Příjmové a majetkové údaje — výše a zdroj příjmu, zaměstnavatel, výpisy z účtu, případně údaje o majetku u zajištěných úvěrů. Poskytovatel je potřebuje k posouzení úvěruschopnosti.
• Registrové a úvěrové údaje — vaše stávající závazky, jejich splátky a platební historie, jak je vidí v úvěrových registrech. Doplňují obraz o tom, kolik už splácíte a jak řádně.
• Údaje ze samotného vztahu — jak průběh smlouvy postupuje, zda splácíte včas, komunikace s vámi, případné upomínky.

Ne všechna tato data mají stejný režim. Něco poskytovatel potřebuje, aby s vámi vůbec mohl uzavřít smlouvu, něco mu ukládá zpracovávat zákon a něco zpracovává ve svém oprávněném zájmu. GDPR přitom platí zásada, že se mají shromažďovat jen údaje nezbytné pro daný účel — poskytovatel po vás nemá právo chtít cokoli navíc jen proto, že se mu to hodí. Kolik dat věřitel skutečně potřebuje pro posouzení, souvisí s tím, jak se z registrů a příjmů skládá bonita a schvalování žádosti.

Žádné zpracování osobních údajů nesmí viset ve vzduchu — GDPR vyžaduje, aby se každé opíralo o některý z takzvaných právních titulů. Bez platného titulu je zpracování nezákonné. U půjček se v praxi uplatní čtyři z nich a je užitečné je od sebe odlišit, protože právě od nich se odvíjí, co poskytovatel smí, a co po něm můžete žádat vy.

• Plnění smlouvy — údaje, bez kterých by nešlo smlouvu o půjčce uzavřít a plnit. Vaše jméno, kontakt, číslo účtu pro zaslání peněz i pro splátky spadají sem. Na tyto údaje poskytovatel souhlas nepotřebuje — bez nich by závazek nefungoval.
• Právní povinnost — zpracování, které věřiteli přímo ukládá zákon. Patří sem opatření proti praní špinavých peněz (AML), jež vyžadují ověření totožnosti klienta, a povinnost posoudit úvěruschopnost podle § 86 zákona o spotřebitelském úvěru. Tomuto zpracování se nelze vyhnout odmítnutím souhlasu.
• Oprávněný zájem — zpracování, které slouží legitimnímu zájmu poskytovatele nebo třetí strany, pokud nad ním nepřevažují vaše práva. Typicky sem patří sdílení údajů o problémech se splácením do negativních registrů a prevence podvodů. Proti zpracování na tomto titulu můžete vznést námitku.
• Souhlas — dobrovolné svolení se zpracováním pro účel, který nespadá pod žádný z předchozích titulů. U půjček se souhlas typicky vyžaduje pro nahlédnutí do pozitivních registrů nebo pro marketingové oslovování. Souhlas lze kdykoli odvolat.

Rozdíl mezi tituly má praktický dopad. Data zpracovávaná na základě souhlasu můžete zpracovávat přestat tím, že souhlas odvoláte; data nutná pro plnění smlouvy nebo právní povinnost takto odmítnout nejde. Proto tvrzení „nesouhlasím, ať o mně nic nevedete" nefunguje plošně — část zpracování stojí na titulech, které na vašem souhlasu nezávisejí.

Kolem souhlasu panuje nejvíc nedorozumění. Mnoho lidí si myslí, že bez podpisu pod souhlasem se zpracováním údajů půjčku vůbec nedostanou a že jím dávají poskytovateli bianko šek na všechno. Ani jedno není přesné. Souhlas je jen jeden ze čtyř právních titulů a zdaleka nepokrývá vše, co se s vašimi daty děje.

Pro podstatnou část zpracování souhlas vůbec potřeba není. Poskytovatel vaše identifikační a příjmové údaje zpracovává na základě plnění smlouvy a právní povinnosti — musí ověřit vaši totožnost, posoudit úvěruschopnost a evidovat plnění závazku. Tady souhlas nežádá, protože ho nepotřebuje; zpracování stojí na zákoně a na samotné podstatě smlouvy. Odmítnout tato data by v praxi znamenalo nedostat půjčku vůbec, ne proto, že vás poskytovatel trestá, ale proto, že bez nich smlouvu uzavřít nelze.

Souhlas se naopak typicky vyžaduje tam, kde zpracování jde nad rámec nutného. Sem patří nahlédnutí do pozitivních registrů BRKI a NRKI, které vedou úplnou historii úvěrů, nebo souhlas s marketingovým oslovováním nabídkami. Zatímco souhlas s nahlédnutím do pozitivního registru bývá pro schválení půjčky prakticky nezbytný — poskytovatel bez něj nevidí celou vaši historii — souhlas s marketingem odmítnout můžete, aniž byste přišli o možnost půjčku sjednat. Platí přitom, že souhlas musí být dobrovolný, konkrétní a odvolatelný: kdykoli později ho můžete vzít zpět a zpracování pro daný účel tím ukončit.

Nejčastější zdroj zmatku kolem GDPR u půjček je otázka, zda vás do registru dlužníků mohou zapsat bez vašeho svolení. Odpověď zní: záleží na tom, o jaký registr jde. České úvěrové registry se dělí na dvě skupiny s odlišným právním režimem a rozdíl mezi nimi plyne přímo z toho, jaký účel každý z nich sleduje.

Pozitivní registry — bankovní BRKI a nebankovní NRKI — vedou úplnou historii úvěrů, tedy i těch řádně splácených. Slouží k tomu, aby poskytovatel viděl celý váš úvěrový obraz, včetně pozitivní historie, která hraje ve váš prospěch. Do těchto registrů se vstupuje s vaším souhlasem, protože se v nich vedou i údaje o bezvadně splácených závazcích, na jejichž zpracování nemá věřitel jiný samostatný titul.

Negativní registr — typicky SOLUS — eviduje především záznamy o problémech se splácením. Do něj lze závažné prodlení zapsat i bez vašeho souhlasu, a to na základě oprávněného zájmu věřitelů chránit se před riziky spojenými s nesplácením. Tento oprávněný zájem GDPR uznává jako platný právní titul — o zpracování máte být informováni, ale samostatný souhlas se pro zápis nevyžaduje. Podrobně se registru SOLUS a jeho pravidlům věnuje samostatná stránka o registru SOLUS.

Z tohoto rozdílu plyne praktický důsledek. Odvolání souhlasu s pozitivním registrem vám neumožní vymazat záznam o dluhu z negativního registru — ten stojí na jiném titulu. Celkový přehled toho, které registry v Česku fungují a jak spolu souvisejí, najdete na stránce co jsou registry dlužníků.

Otázka „jak dlouho o mně budou vést data" nemá jednu univerzální odpověď a je dobré to vědět předem, aby vás nezaskočilo, že se různé údaje drží různě dlouho. GDPR zavádí zásadu omezení uložení: osobní údaje se mají uchovávat jen po dobu nezbytnou pro účel, pro který byly pořízeny. Jakmile účel pomine, mají být vymazány nebo anonymizovány. Doba uchování se tedy neváže na pevné číslo, ale na účel konkrétního zpracování.

V praxi to znamená, že různé kategorie dat mají různý osud. Údaje potřebné pro plnění smlouvy se drží po dobu jejího trvání a případně nezbytnou dobu po jejím skončení. Údaje, jejichž archivaci ukládá zákon — třeba doklady vyžadované předpisy proti praní špinavých peněz nebo účetní záznamy — se uchovávají po lhůtu, kterou stanoví příslušný předpis, a to i proti vaší vůli, dokud lhůta neuplyne. A záznamy v úvěrových registrech mají vlastní dobu platnosti danou pravidly provozovatele registru.

Právě u registrů je namístě opatrnost s konkrétními čísly. Doby, po které se v nich vedou záznamy o splácených i nesplácených závazcích, se řídí pravidly každého registru zvlášť a v čase se mohou měnit. Proto se konkrétní lhůtu vyplatí ověřit přímo u provozovatele daného registru, ne se spoléhat na obecně tradovaná čísla. To, kdy záznam z registru zmizí a co s tím lze udělat, rozebírá stránka o výmazu z registru.

GDPR není jen soupis povinností pro firmy — dává vám také konkrétní práva, kterými se můžete bránit proti nadbytečnému nebo nesprávnému nakládání s vašimi daty. Poskytovatel je jako správce údajů povinen na tato práva reagovat a v zákonné lhůtě vám odpovědět. Přehled hlavních práv vypadá takto.

• Právo na přístup — můžete žádat potvrzení, zda o vás poskytovatel zpracovává údaje, a získat jejich kopii i informace o účelu a příjemcích. První kopie je bezplatná.
• Právo na opravu — jsou-li o vás vedeny nesprávné nebo neúplné údaje, máte právo na jejich opravu či doplnění. To je zásadní zejména u chybného záznamu v registru.
• Právo na výmaz — za určitých podmínek můžete žádat vymazání údajů. Toto právo ale není absolutní a má výjimky (viz další oddíl).
• Právo na omezení zpracování — v některých situacích, třeba během sporu o správnost údajů, můžete žádat, aby poskytovatel s daty dočasně jen „nehýbal".
• Právo na přenositelnost — údaje, které jste poskytli a které se zpracovávají automatizovaně na základě souhlasu nebo smlouvy, můžete dostat ve strojově čitelném formátu, případně předat jinému správci.
• Právo vznést námitku — proti zpracování na základě oprávněného zájmu můžete vznést námitku; proti přímému marketingu vždy a s okamžitým účinkem.

Tato práva můžete uplatnit přímo u poskytovatele, který vám má bez zbytečného odkladu vyhovět nebo vysvětlit, proč vyhovět nemůže. Stojí za to je znát, protože v běžném provozu je málokdo připomene — leží na vás, abyste je uplatnili. Do širšího rámce toho, co vám u půjčky náleží, je zasazuje přehled práv spotřebitele.

Právo na výmaz — někdy označované jako „právo být zapomenut" — bývá vnímáno jako nejsilnější nástroj v rukou spotřebitele. Realita je ovšem střízlivější: výmaz není absolutní a u půjček naráží na řadu situací, kde neplatí. Kdo očekává, že žádostí o výmaz smaže veškerou stopu po své půjčce, bude zklamán, a je lepší to vědět, než na to spoléhat.

Výmaz se prakticky uplatní tam, kde odpadl důvod pro zpracování. Typicky jde o data zpracovávaná na základě souhlasu, který jste odvolali, nebo o údaje, které už k žádnému legitimnímu účelu nejsou potřeba. V takových případech poskytovatel nemá o co zpracování opřít a měl by údaje vymazat.

Naproti tomu výmaz neplatí tam, kde poskytovatel data potřebuje ke splnění právní povinnosti nebo kde je zpracovává na základě oprávněného zájmu, jehož důvody převažují nad vašimi. Konkrétně to znamená, že:

• údaje, jejichž archivaci věřiteli ukládá zákon (například doklady podle předpisů proti praní špinavých peněz nebo účetní záznamy), nelze na požádání smazat, dokud běží zákonná lhůta;
• záznam o závažném prodlení v negativním registru, vedený na základě oprávněného zájmu, se výmazem podle GDPR odstranit nedá jen proto, že se vám nelíbí;
• údaje potřebné k uplatnění nebo obhajobě právních nároků — třeba dokumentace k dosud nesplacené či sporné pohledávce — zůstávají zpracovávány, dokud spor trvá.

Zvláštní pozornost si zaslouží vztah GDPR a výmazu z úvěrového registru, protože právě sem míří nejvíc nadějí — i nejvíc mýtů. Záznam v registru se totiž řídí dvěma vrstvami pravidel zároveň: vlastní dobou platnosti danou provozovatelem registru a obecnými právy podle GDPR. Teprve jejich souhra určuje, co s vaším záznamem půjde udělat.

První vrstva funguje automaticky. Každý záznam v registru má svou dobu platnosti a po jejím uplynutí zpravidla zmizí sám, aniž byste o cokoli žádali. To je nejběžnější cesta, jak se z registru dostat — počkat, až účel zpracování daného záznamu pomine a doba platnosti doběhne. Konkrétní délku určuje provozovatel registru, proto se vyplatí ji ověřit u něj.

Druhá vrstva vstupuje do hry tam, kde je záznam nesprávný nebo neoprávněný. GDPR vám dává právo domáhat se opravy chybného údaje a za splnění podmínek i výmazu — třeba když byl záznam pořízen bez právního titulu, když se týká již vypořádaného závazku, u nějž pominul důvod evidence, nebo když obsahuje věcnou chybu. Naopak správně a oprávněně vedený záznam o skutečném prodlení pomocí GDPR odstranit nejde. Jak konkrétně o výmaz či opravu usilovat a na koho se obrátit, rozebírá stránka o výmazu z registru; ověřit, co je o vás vlastně vedeno, vám pomůže kontrola registru.

Práva podle GDPR by nebyla mnoho platná, kdyby na jejich dodržování nikdo nedohlížel. Dozorovým úřadem pro ochranu osobních údajů v České republice je Úřad pro ochranu osobních údajů. Dohlíží na to, jak správci — tedy i poskytovatelé půjček a provozovatelé registrů — s osobními údaji nakládají, a řeší podněty lidí, kteří se cítí zpracováním poškozeni.

Než se ale obrátíte na dozorový úřad, vede první krok obvykle přímo k poskytovateli. Jako správce vašich údajů je povinen na uplatnění vašich práv reagovat — vyřídit žádost o přístup, opravit nesprávný údaj nebo vysvětlit, na jakém titulu zpracování stojí. Řadu situací lze vyřešit už na této úrovni, aniž by bylo nutné cokoli eskalovat. Teprve když poskytovatel nereaguje, odmítá vyhovět bez legitimního důvodu nebo s vašimi daty zjevně nakládá v rozporu s pravidly, má smysl obrátit se na Úřad pro ochranu osobních údajů.

Úřad se zabývá právě porušeními pravidel ochrany osobních údajů — tedy zpracováním bez právního titulu, ignorováním vašich práv nebo neoprávněným vedením v registru. Naopak spory o samotnou půjčku, o výši dluhu nebo o smluvní podmínky patří jinam: k finančnímu arbitrovi, k dohledu ČNB nad poskytovateli úvěrů nebo k soudu. Je dobré tyto roviny nezaměňovat, aby váš podnět zamířil tam, kde ho skutečně vyřeší.

Znalost pravidel je jedna věc, obezřetnost při samotné žádosti druhá. GDPR vám dává práva, ale první linií ochrany zůstáváte vy sami — tím, komu a jaká data předáváte. Pár zásad výrazně sníží riziko, že vaše údaje skončí tam, kam nepatří.

• Ověřte si, komu data dáváte — dřív než vyplníte žádost s citlivými údaji, ověřte, že poskytovatel je licencovaný a dohledatelný. Neseriózní subjekt zneužije data snáz než ta, kdo podléhá dohledu a pravidlům.
• Čtěte, k čemu souhlas dáváte — rozlište souhlas nutný pro sjednání půjčky od souhlasu s marketingem. Ten druhý můžete odmítnout, aniž byste přišli o půjčku.
• Nepředávejte víc, než je potřeba — poskytovatel má právo jen na údaje nezbytné pro daný účel. Žádost o kopie dokladů „do zásoby" nebo o přístupy, které s posouzením nesouvisejí, je namístě zpochybnit.
• Pozor na kanály komunikace — citlivé doklady posílejte zabezpečenou cestou, kterou poskytovatel k tomu určil, ne přes běžný e-mail či zprávy na sociálních sítích.
• Kontrolujte si své záznamy — pravidelná kontrola toho, co je o vás v registrech vedeno, vám pomůže včas zachytit chybu i případné zneužití identity.

Bezpečné zacházení s daty je součástí širší opatrnosti při sjednávání půjčky online. Jak podat žádost tak, aby vaše údaje zůstaly v bezpečí, rozebírá stránka o bezpečné žádosti online. Ochrana osobních údajů a opatrný výběr poskytovatele jdou ruku v ruce: čím pečlivěji volíte, komu své údaje svěříte, tím méně budete práva podle GDPR muset uplatňovat nápravně.