Sintesi del parere del Garante europeo della protezione dei dati sulla proposta di direttiva relativa ai crediti al consumo

(Il testo integrale del presente parere è disponibile in inglese, francese e tedesco sul sito web del GEPD www.edps.europa.eu)

(2021/C 403/05)

Il 30 giugno 2021 la Commissione europea ha adottato una proposta di direttiva relativa ai crediti al consumo. La proposta mira a sostituire la direttiva 2008/48/CE relativa ai contratti di credito ai consumatori e ad adeguare le norme attuali all’attuale digitalizzazione del mercato e ad altre tendenze (nuovi operatori, come le piattaforme di prestito peer-to-peer e le nuove forme di credito al consumo, come i prestiti a breve termine ad alto costo).

Il GEPD accoglie con favore l’obiettivo di rafforzare la protezione dei consumatori e ricorda la relazione di complementarità tra protezione dei consumatori e protezione dei dati. La proposta ha un chiaro impatto sulla tutela dei diritti e delle libertà delle persone fisiche con riguardo al trattamento dei dati personali, in particolare alla luce delle disposizioni relative alla valutazione del merito creditizio, alle offerte personalizzate sulla base del trattamento automatizzato e all’uso di dati personali nell’ambito di attività di consulenza e di altra natura.

Per promuovere un accesso equo al credito e alla protezione dei dati, il GEPD raccomanda di definire chiaramente le categorie e le fonti di dati personali che possono essere utilizzate ai fini della valutazione del merito creditizio. In particolare, il GEPD invita il legislatore ad adoperarsi per una maggiore protezione dei consumatori e armonizzazione, specificando chiaramente le categorie di dati che dovrebbero e non dovrebbero essere trattati. Il GEPD raccomanda inoltre di vietare esplicitamente l’uso di categorie particolari di dati personali ai sensi dell’articolo 9 del regolamento generale sulla protezione dei dati.

Tenendo conto delle possibili conseguenze negative per le persone interessate, il GEPD ritiene che vadano esaminati i requisiti, il ruolo e le responsabilità delle banche dati relative ai crediti o dei terzi che forniscono il merito di credito («credit score»). È inoltre opportuno fornire ulteriori chiarimenti in merito alle situazioni in cui la consultazione di fonti esterne è necessaria e proporzionata.

I consumatori dovrebbero sempre ricevere informazioni preliminari significative ogniqualvolta la loro valutazione del merito creditizio si basa su un trattamento automatizzato. Se la valutazione del merito creditizio comporta l’uso della profilazione o altro trattamento automatizzato di dati personali, i consumatori dovrebbero poter richiedere e ottenere una valutazione umana.

Per quanto riguarda le offerte personalizzate sulla base del trattamento automatizzato, il GEPD raccomanda di introdurre l’obbligo per il creditore di fornire informazioni chiare, significative e uniformi sui parametri utilizzati per determinare i prezzi. Inoltre, il GEPD incoraggia il legislatore a definire chiaramente le categorie di dati personali che possono essere utilizzate come parametri per elaborare un’offerta personalizzata.

Il GEPD raccomanda di confermare esplicitamente la piena applicabilità del regolamento (UE) 2016/679 («RGPD») a qualsiasi trattamento di dati personali che rientri nell’ambito di applicazione della proposta. Vista la proposta di legge sull’intelligenza artificiale, il GEPD raccomanda di garantire che le pertinenti norme in materia di credito al consumo e protezione dei dati siano integrate nel processo di valutazione della conformità (di terzi) prima della marcatura CE.

1. Contesto

1. Il 30 giugno 2021 la Commissione europea ha adottato una proposta di direttiva relativa ai crediti al consumo (la «proposta») ( 1 ) . La proposta mira a modernizzare le norme in materia di credito al consumo per far fronte ai cambiamenti introdotti dalla digitalizzazione ( 2 ) e ad abrogare la direttiva 2008/48/CE relativa ai contratti di credito ai consumatori ( 3 )

2. La proposta fa seguito a una valutazione REFIT, dalla quale è emerso che gli obiettivi della direttiva 2008/48/CE, vale a dire garantire standard elevati di protezione dei consumatori e promuovere lo sviluppo di un mercato interno del credito, sono ancora pertinenti. Nel contempo, ha rilevato che il panorama normativo rimane notevolmente frammentato in tutta l’UE e che la formulazione imprecisa di alcune disposizioni della direttiva dà luogo a incertezza giuridica, che ostacola il corretto funzionamento del mercato interno del credito al consumo e non garantisce un livello costantemente elevato di protezione dei consumatori ( 4 )

3. In tale contesto, la proposta mira a rafforzare la protezione dei consumatori affrontando le carenze relative all’ambito di applicazione della direttiva 2008/48/CE, rafforzando e armonizzando l’obbligo di fornire ai consumatori informazioni e spiegazioni adeguate, stabilendo garanzie relative, tra l’altro, ai tassi di interesse e al costo del credito, e promuovendo l’educazione finanziaria.

4. Il GEPD osserva che la proposta avrà un chiaro impatto sulla protezione dei dati, in particolare alla luce delle sue disposizioni riguardanti: pubblicità e marketing dei contratti di credito (articolo 7); offerte personalizzate sulla base di un trattamento automatizzato (articolo 13); l’obbligo di valutare il merito creditizio del consumatore (articolo 18), che può richiedere la consultazione delle pertinenti banche dati (articolo 18, paragrafo 9), anche ospitate in uno Stato membro diverso da quello del creditore in caso di servizi di credito transfrontalieri (articolo 19); servizi di consulenza (articolo 16); attività elencate alle lettere da a) a e) dell’articolo 32, paragrafo 1.

5. Il 1 o luglio 2021 la Commissione europea ha chiesto al GEPD di formulare un parere sulla proposta, ai sensi dell’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725. Le presenti osservazioni sono limitate alle disposizioni della proposta che sono pertinenti dal punto di vista della protezione dei dati.

4. Conclusioni

Alla luce di quanto precede, il GEPD:

— accoglie con favore l’obiettivo perseguito dalla proposta di rafforzare la protezione dei consumatori per far fronte ai rischi posti dalla digitalizzazione del credito al consumo;

— ricorda la relazione di complementarità tra la protezione dei consumatori e la protezione dei dati e il ruolo importante che quest’ultima può svolgere anche in termini di responsabilizzazione dei consumatori;

— raccomanda di definire ulteriormente le categorie di dati che possono o meno essere utilizzati ai fini della valutazione del merito creditizio e di vietare esplicitamente l’uso di categorie particolari di dati personali ai sensi dell’articolo 9 del regolamento generale sulla protezione dei dati nel dispositivo della proposta;

— raccomanda di fornire un’indicazione più chiara di quali fonti esterne possano essere considerate «pertinenti» nel contesto della valutazione del merito creditizio;

— raccomanda di affrontare i requisiti, il ruolo e le responsabilità delle banche dati relative ai crediti o dei terzi che forniscono il merito di credito («credit score»), unitamente a ulteriori chiarimenti sulle situazioni in cui la consultazione di tali fonti esterne è necessaria e proporzionata;

— raccomanda di aggiungere, all’articolo 18, paragrafo 3, della proposta, che le procedure per la valutazione del merito creditizio devono includere la procedura di controllo della qualità dei dati;

— raccomanda di sostituire il termine «intervento» [umano] con «valutazione» all’articolo 18, paragrafo 6, e al considerando 48 della proposta. Inoltre, il GEPD raccomanda di garantire che il consumatore sia informato quando la valutazione del merito creditizio si basa su un trattamento automatizzato in tutti i casi (non solo in caso di rigetto della domanda di prestito);

— accoglie con favore l’obbligo di informare i consumatori che ricevono un’offerta personalizzata. Tuttavia, il GEPD raccomanda di aggiungere l’obbligo di fornire informazioni chiare, significative e uniformi sui parametri utilizzati per determinare i prezzi e di delineare chiaramente le categorie di dati personali che possono essere utilizzate come parametri per elaborare un’offerta personalizzata;

— accoglie con favore il diritto del consumatore di essere informato dei risultati di una consultazione di banche dati effettuata ai fini della valutazione del suo merito creditizio. Tuttavia, il GEPD raccomanda di prevedere l’obbligo di informare il richiedente prima di tale consultazione. Il GEPD raccomanda inoltre di armonizzare le categorie di informazioni che possono essere inserite nelle banche dati per la valutazione del merito creditizio;

— raccomanda di specificare nella proposta che l’uso dei dati raccolti e trattati nel contesto della valutazione del merito creditizio a fini di pubblicità e marketing non dovrebbe essere consentito;

— raccomanda di definire ulteriormente nella proposta quali informazioni riguardanti la situazione finanziaria, le preferenze e gli obiettivi del consumatore relativi al contratto di credito o ai servizi di crowdfunding possano essere considerate «strettamente necessarie» ai fini della fornitura di servizi di consulenza e delle attività elencate all’articolo 32, paragrafo 1, della proposta;

— raccomanda di includere una disposizione e un considerando corrispondente sull’applicabilità del RGPD nel contesto della proposta, in particolare al trattamento dei dati personali da parte dei creditori e dei fornitori di servizi di crowdfunding;

— ricorda la necessità di integrare gli obblighi di cui alla normativa in materia di protezione dei dati e di credito al consumo nei requisiti previsti dalla proposta di legge sull’intelligenza artificiale, in particolare nel contesto della certificazione dei sistemi di intelligenza artificiale utilizzati per la valutazione del merito creditizio, in particolare nell’ambito del processo di valutazione della conformità (di terzi) prima della marcatura CE.

Bruxelles, 26 agosto 2021 p.p. Leonardo CERVERA NAVAS Direttore Wojciech Rafał WIEWIÓROWSKI

(1) Proposta di direttiva del Parlamento europeo e del Consiglio relativa ai crediti al consumo, 30 giugno 2021, 2021/0171 (COD).

(2) Cfr. pag. 3 della relazione.

(3) Direttiva 2008/48/CE del Parlamento europeo e del Consiglio, del 23 aprile 2008, relativa ai contratti di credito ai consumatori e che abroga la direttiva 87/102/CEE del Consiglio (GU L 133 del 22.5.2008, pag. 66).

(4) Cfr. pag. 1 della relazione.