Resumé af udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om forslaget til direktiv om forbrugerkredit

(Udtalelsen findes i sin helhed på engelsk, fransk og tysk på EDPS’ websted www.edps.europa.eu)

(2021/C 403/05)

Europa-Kommissionen vedtog den 30. juni 2021 et forslag til direktiv om forbrugerkredit. Forslaget har til formål at erstatte direktiv 2008/48/EF om forbrugerkreditaftaler og tilpasse de nuværende bestemmelser til den igangværende digitalisering af markedet og andre tendenser (nye operatører, såsom peer-to-peer-låneplatforme, og nye former for forbrugerkredit, som f.eks. kortfristede, dyre lån).

EDPS glæder sig over målet om at styrke forbrugerbeskyttelse og påpeger det komplementære forhold mellem forbruger- og databeskyttelse. Forslaget har en klar indvirkning på beskyttelsen af fysiske personers rettigheder og frihedsrettigheder, hvad angår behandling af personoplysninger, navnlig i lyset af bestemmelserne vedrørende kreditværdighedsvurdering, personaliserede tilbud på grundlag af automatiseret behandling og brug af personoplysninger i forbindelse med rådgivning og andre aktiviteter.

Med henblik på at fremme rimelig adgang til kredit og databeskyttelse anbefaler EDPS, at de kategorier af og kilder til personoplysninger, som må benyttes til vurdering af kreditværdighed, afgrænses tydeligt. EDPS opfordrer især lovgiveren til at tilstræbe øget forbrugerbeskyttelse og harmonisering ved tydeligt at angive de kategorier af oplysninger, der bør og ikke bør behandles. EDPS anbefaler desuden, at brugen af særlige kategorier af personoplysninger i henhold til artikel 9 i GDPR udtrykkeligt forbydes.

I lyset af de mulige alvorlige konsekvenser for de berørte personer mener EDPS desuden, at kravene til kreditdatabaser eller tredjeparter, der tilbyder »kreditvurderinger«, og disses roller og ansvarsområder bør omtales. Endvidere bør det præciseres, i hvilke situationer høring af eksterne kilder er nødvendig og forholdsmæssig.

Forbrugere bør altid modtage meningsfulde forudgående oplysninger, når vurderingen af deres kreditværdighed baseres på automatiseret behandling. Når en kreditværdighedsvurdering omfatter brug af profilering eller anden automatiseret behandling af personoplysninger, bør forbrugere have mulighed for at anmode om og få en vurdering foretaget af mennesker.

For så vidt angår personaliserede tilbud på baggrund af automatiseret behandling anbefaler EDPS, at der indføres en forpligtelse for kreditor om at levere klare, meningsfulde og harmoniserede oplysninger om de parametre, der anvendes til at fastsætte prisen. EDPS opfordrer desuden lovgiveren til tydeligt at afgrænse de kategorier af personoplysninger, der må anvendes som parametre til udarbejdelse af personaliserede tilbud.

EDPS anbefaler udtrykkeligt at bekræfte den fulde anvendelse af forordning 2016/679 (»GDPR«) på al behandling af personoplysninger, der er omfattet af forslaget. Hvad angår forslaget til en retsakt om kunstig intelligens anbefaler EDPS, at det sikres, at de relevante bestemmelser om forbrugerkredit og databeskyttelse indarbejdes som en del af (tredjemands) overensstemmelsesvurderingen før CE-mærkningen.

1. Baggrund

2. Forslaget følger en REFIT-evaluering, hvor det blev konstateret, at målene med direktiv 2008/48/EF, nemlig at sikre høje standarder for forbrugerbeskyttelse og fremme udviklingen af et indre marked for kredit, kun delvist er blevet opfyldt og stadig er relevante. Det blev ligeledes konstateret, at det reguleringsmæssige landskab fortsat er stærkt fragmenteret i hele EU, og at den upræcise ordlyd af visse bestemmelser i direktivet medfører retsusikkerhed, som begge hæmmer et velfungerende indre marked for forbrugerkredit og ikke garanterer et ensartet højt forbrugerbeskyttelsesniveau ( 4 )

3. På denne baggrund sigter forslaget mod at styrke forbrugerbeskyttelsen ved at afhjælpe mangler i forbindelse med anvendelsesområdet for direktiv 2008/48/EF, styrke og harmonisere forpligtelsen til at give relevante oplysninger og redegørelser til kunder, indføre garantier bl.a. vedrørende renter og kreditomkostninger samt fremme formidling af finansiel viden.

4. EDPS påpeger, at forslaget vil have en klar indvirkning på databeskyttelse, navnlig for så vidt angår bestemmelserne om: reklame for og markedsføring af kreditaftaler og crowdfundingkredittjenester (artikel 7), personaliserede tilbud på grundlag af automatiseret behandling (artikel 13), forpligtelse til at vurdere forbrugerens kreditværdighed (artikel 18), som kan forudsætte søgning i de relevante databaser (artikel 18, stk. 9), herunder databaser, der er hostet i en anden medlemsstat end kreditgiverens i forbindelse med grænseoverskridende kredittjenester (artikel 19), rådgivningstjenester (artikel 16), de aktiviteter, der er nævnt under litra a) til e) i artikel 32, stk. 1.

5. Den 1. juli 2021 anmodede Europa-Kommissionen EDPS om at afgive udtalelse om forslaget i overensstemmelse med artikel 42, stk. 1, i forordning (EU) 2018/1725. Disse kommentarer er begrænset til de bestemmelser i forslaget, der er relevante set fra et databeskyttelsesperspektiv.

4. Konklusioner

På baggrund af ovenstående

— bifalder EDPS forslagets formål om at styrke forbrugerbeskyttelsen ved at afhjælpe de risici, der følger af digitaliseringen af forbrugerkredit

— minder EDPS om det komplementære forhold mellem forbruger- og databeskyttelse og den centrale rolle, databeskyttelse endvidere kan have, hvad angår forbrugerindflydelse

— anbefaler EDPS, at de kategorier af oplysninger, der må og ikke må anvendes i forbindelse med kreditværdighedsvurdering, afgrænses yderligere, og at brugen af særlige kategorier af personoplysninger, jf. artikel 9 i GDPR forbydes eksplicit i forslagets dispositive del

— anbefaler EDPS en tydeligere afklaring af, hvilke eksterne kilder der kan anses for »relevante« i forbindelse med en kreditværdighedsvurdering

— anbefaler EDPS, at kravene til kreditdatabaser eller tredjeparter, der tilbyder »kreditvurderinger«, og disses roller og ansvarsområder omhandles, og ligeledes at det præciseres, i hvilke situationer høring af eksterne kilder er nødvendig og forholdsmæssig

— anbefaler EDPS, at det i forslagets artikel 18, stk. 3, tilføjes, at procedurerne for kreditværdighedsvurdering skal omfatte en procedure for kontrol af datakvalitet

— anbefaler EDPS, at begrebet [menneskelig] »indgriben« erstattes med »vurdering« i forslagets artikel 18, stk. 6, og betragtning 48. EDPS anbefaler desuden en garanti for, at kunden i alle tilfælde (dvs. ikke kun når låneansøgningen afvises) informeres, når kreditværdighedsvurderingen baseres på automatiseret behandling

— glæder EDPS sig over forpligtelsen til at informere forbrugerne om, at de præsenteres for et personaliseret tilbud. EDPS anbefaler imidlertid, at der tilføjes en forpligtelse om, at give klare, relevante og ensartede oplysninger om de parametre, der anvendes til at fastsætte prisen, og tydeligt at afgrænse de kategorier af personoplysninger, der må anvendes som parametre til at udarbejde et personaliseret tilbud

— glæder EDPS sig over forbrugerens ret til at blive underrettet om resultatet af en databasesøgning, der er foretaget med henblik på vurdering af dennes kreditværdighed. EDPS anbefaler dog, at der medtages en forpligtelse til på forhånd at informere ansøgeren om en sådan søgning. Endvidere anbefaler EDPS, at de kategorier af oplysninger, der kan være indeholdt i databaserne til kreditværdighedsvurderingen, harmoniseres

— anbefaler EDPS, at det i forslaget præciseres, at brugen af data, der er indsamlet og behandlet i forbindelse med en kreditværdighedsvurdering, ikke bør være tilladt med henblik på reklame og markedsføring

— anbefaler EDPS, at det i forslaget yderligere afgrænses, hvilke oplysninger om forbrugerens finansielle situation, præferencer og mål vedrørende en kreditaftale eller crowdfundingtjenester der må betragtes som »strengt nødvendige« med henblik på ydelse af de i forslagets artikel 32, stk. 1, omtalte rådgivningstjenester og aktiviteter

— anbefaler EDPS, at der medtages en bestemmelse og en tilsvarende betragtning om anvendelsen af GDPR i forbindelse med forslaget og navnlig i forbindelse med kreditgivere og udbydere af crowdfundingkredittjenesters behandling af personoplysninger

— minder EDPS om behovet for at indarbejde kravene i databeskyttelseslovgivningen og lovgivningen om forbrugerkredit i kravene i den foreslåede retsakt om kunstig intelligens (AI), navnlig i forbindelse med certificering af AI-systemer, der benyttes til kreditværdighedsvurdering, og navnlig som led i (tredjemands) overensstemmelsesvurderingen før CE-mærkningen.

Udfærdiget i Bruxelles, den 26. august 2021 p.o. Leonardo CERVERA NAVAS Direktør Wojciech Rafał WIEWIÓROWSKI

(1) Forslag til Europa-Parlamentets og Rådets direktiv om forbrugerkredit af 30. juni 2021, 2021/0171 (COD).

(2) Se side 3 i begrundelsen.

(3) Europa-Parlamentets og Rådets direktiv 2008/48/EF af 23. april 2008 om forbrugerkreditaftaler og om ophævelse af Rådets direktiv 87/102/EØF (EUT L133 af 22.5.2008, s. 66).

(4) Se side 1 i begrundelsen.