Experian: Πρόστιμο για παράνομη συλλογή δεδομένων

Η Dutch Data Protection Authority (AP), η ολλανδική Αρχή Προστασίας Δεδομένων, επέβαλε πρόστιμο 2,7 εκατομμυρίων ευρώ στην Experian Netherlands για πολλαπλές παραβιάσεις του Γενικού Κανονισμού Προστασίας Δεδομένων (GDPR).

Σύμφωνα με την AP, η εταιρεία –μέλος του διεθνούς ομίλου Experian που δραστηριοποιείται σε περισσότερες από 40 χώρες– χρησιμοποίησε προσωπικά δεδομένα από ποικίλες πηγές (δημόσιες και ιδιωτικές) χωρίς επαρκή ενημέρωση προς τα άτομα και χωρίς την απαιτούμενη νομική βάση.

Πώς προέκυψε η υπόθεση

Η Αρχή ξεκίνησε την έρευνα μετά από καταγγελίες ατόμων που διαπιστώσαν ότι, εξαιτίας της αξιολόγησης της πιστοληπτικής ικανότητας που παρείχε η Experian σε παρόχους ενέργειας ή τηλεπικοινωνιών, τους ζητήθηκε υψηλή προκαταβολή. Σε κάποιες περιπτώσεις, δεν γινόταν αποδεκτή και η σύναψη συμβολαίου.

Η AP εντόπισε ότι η εταιρεία συγκέντρωνε δεδομένα από το Εμπορικό Μητρώο (Chamber of Commerce), εταιρείες τηλεπικοινωνιών και ενέργειας που πωλούσαν πληροφορίες πελατών, και στη συνέχεια δημιούργησε μια ευρεία βάση δεδομένων με πληροφορίες για «άριστο αριθμό ανθρώπων στην Ολλανδία».

Δείτε επίσης: Capita: Πρόστιμο £14 εκατ. για την παραβίαση δεδομένων του 2023

Κατά την περίοδο μέχρι την 1η Ιανουαρίου 2025, η Experian παρείχε στους πελάτες της αξιολογήσεις πιστοληπτικής ικανότητας βάσει στοιχείων, όπως αρνητική συμπεριφορά πληρωμών, ανεξόφλητα χρέη ή πτωχεύσεις, χωρίς όμως να ενημερώνει επαρκώς τα άτομα για τη συλλογή των δεδομένων τους ή να εξασφαλίζει τη συγκατάθεση ή άλλη έγκυρη νομική βάση.

Το αποτέλεσμα ήταν ότι πολλοί καταναλωτές δεν είχαν ιδέα ότι η αξιολόγησή τους επηρεάζει το κόστος υπηρεσιών ή την πρόσβασή τους σε συμβόλαια — όπως σημείωσε ο Aleid Wolfsen, πρόεδρος της AP: «Επειδή οι άνθρωποι δεν γνώριζαν τον έλεγχο πιστοληπτικής ικανότητας, δεν μπορούσαν να ελέγξουν εγκαίρως εάν οι πληροφορίες που χρησιμοποιούσαν ήταν ακριβείς».

Τι σημαίνει για την τεχνολογία των δεδομένων

Το περιστατικό δείχνει με σαφήνεια ότι η τεχνολογία αξιολόγησης πιστοληπτικής ικανότητας δεν είναι απλώς οικονομική, αλλά εμπλέκει έντονα το πεδίο της ανάλυσης προσωπικών δεδομένων (data analytics), της big data και της αυτοματοποιημένης λήψης αποφάσεων.

Η Experian, όπως πολλές εταιρείες στον κλάδο της πιστοληπτικής αξιολόγησης, χρησιμοποιεί σύνολα δεδομένων (public & private) για να δημιουργήσει μοντέλα που επιτρέπουν σε τρίτους (τράπεζες, πάροχοι υπηρεσιών, εταιρείες ενέργειας/τηλεπικοινωνιών) να αποφασίσουν εάν και με ποιο κόστος θα συνεργαστούν με κάποιον.

Ωστόσο, το GDPR απαιτεί σαφή ενημέρωση των ατόμων, νόμιμη βάση επεξεργασίας (συχνά συναίνεση ή έννομο συμφέρον) και διαφάνεια — προϋποθέσεις που στο εν λόγω περιστατικό δεν καλύφθηκαν επαρκώς.

Δείτε επίσης: Σιγκαπούρη: Απειλεί με πρόστιμο το Facebook για απάτες πλαστοπροσωπίας

Επιπλέον, η περίπτωση τονίζει ότι η τεχνολογία δεν είναι «ουδέτερη»: το πώς διαμορφώνονται τα μοντέλα, ποια δεδομένα χρησιμοποιούνται, πόσο μπορούν οι καταναλωτές να ελέγξουν την ακρίβεια των πληροφοριών τους — όλα αυτά έχουν βαθύ τεχνολογικό και ηθικό υπόβαθρο.

Ποιες είναι οι επιπτώσεις για τις επιχειρήσεις και την αγορά

Για τις εταιρείες που βασίζουν τις υπηρεσίες τους σε ανάλυση δεδομένων και πιστοληπτική αξιολόγηση, το μήνυμα είναι σαφές: η μη συμμόρφωση με το GDPR μπορεί να οδηγήσει σε πρόστιμα και, το σημαντικότερο, σε πλήγμα της αξιοπιστίας.

Η συγκεκριμένη υπόθεση δείχνει ότι ακόμη και μεγάλοι παίκτες, με διεθνές αποτύπωμα, δεν είναι υπεράνω των κανόνων. Η Experian αναγνώρισε το παράνομο της συμπεριφοράς της και δεν άσκησε έφεση.

Παράλληλα, η αγορά θα πρέπει να εξετάσει δύο κρίσιμα σημεία:

1. Η ακρίβεια και η ενημέρωση των δεδομένων για τα άτομα που αξιολογούνται: η δυνατότητα ελέγχου, διόρθωσης ή άρνησης επεξεργασίας γίνεται πλέον κρίσιμη.
2. Η απόδειξη της νομικής βάσης επεξεργασίας: οι εταιρείες πρέπει να τεκμηριώνουν γιατί συλλέγουν δεδομένα, για ποιο σκοπό, και να ενημερώνουν τα άτομα — αλλιώς εκτίθενται σε πολύ υψηλότερα πρόστιμα.
   Σύμφωνα με στοιχεία, τα συνολικά πρόστιμα GDPR μέχρι σήμερα έχουν υπερβεί τα εκατοντάδες εκατομμύρια ευρώ.

Τι έπεται – για τους καταναλωτές και τη ρύθμιση

Για τον καταναλωτή, η υπόθεση μεταφράζεται σε μεγαλύτερη επαγρύπνηση: αν κάποιος δέχεται υψηλή προκαταβολή ή απορρίπτεται χωρίς σαφή εξήγηση, υπάρχει πλέον precedent να ζητήσει ποια δεδομένα χρησιμοποιήθηκαν, ποιος τα επεξεργάστηκε και αν τα έχει το δικαίωμα διόρθωσης ή διαγραφής.

Για τη ρύθμιση και τις εποπτικές αρχές, η υπόθεση της Experian ενισχύει τη θέση ότι τα μοντέλα αξιολόγησης πρέπει να είναι διαφανή, να υπάρχει ανθρώπινη επέμβαση όπου απαιτείται, και να μην μένουν τα άτομα «στο σκοτάδι».

Στην έκθεση της AP αναφέρεται πως η Experian θα διαγράψει ολόκληρη τη βάση δεδομένων προσωπικών δεδομένων της στην Ολλανδία πριν το τέλος του έτους και έχει σταματήσει τις δραστηριότητές της όσον αφορά τις προσωπικές αξιολογήσεις.

Δείτε επίσης: Η Microsoft αποφεύγει το πρόστιμο της ΕΕ για το bundling του Teams

Μιας και η τεχνολογία αξιολόγησης βαδίζει προς πιο αυτοματοποιημένες λύσεις (AI, machine learning), οι εταιρείες πρέπει να μεριμνήσουν ότι αυτά τα μοντέλα είναι συμβατά με το πλαίσιο προστασίας προσωπικών δεδομένων — αλλιώς το τεχνολογικό τους πλεονέκτημα θα γίνει νομικό και οικονομικό ρίσκο.

Η υπόθεση της Experian στην Ολλανδία υπενθυμίζει ότι η συλλογή και ανάλυση προσωπικών δεδομένων — μια τεχνολογική δραστηριότητα με τεράστιες δυνατότητες — δεν μπορεί να πραγματοποιείται χωρίς σεβασμό στο νομικό και ηθικό πλαίσιο.

Για τα τεχνολογικά sites και τους επαγγελματίες του κλάδου, σηματοδοτεί μια δεύτερη γενιά προκλήσεων: όχι απλώς «να δουλεύει η τεχνολογία», αλλά να δουλεύει σωστά, εντός κανόνων, με διαφάνεια και λογοδοσία.

Η προσήλωση στην προστασία δεδομένων δεν είναι πλέον κόστος — είναι απαραίτητη προϋπόθεση για την αξιοπιστία και τη βιωσιμότητα των data-driven υπηρεσιών.

Πηγή: www.bleepingcomputer.com