Credit Scoring como tratamiento de datos personales a la luz del RGPD. Análisis de su finalidad e influencia en los posibles usos secundarios de los datos

• Campos Rivera, Gonzalo ^[1]
  1. [1] Abogado en García Selva Abogados. Consultor en Protección de Datos y socio fundador de CEUDATA
• Localización: RDUNED. Revista de derecho UNED, ISSN-e 2255-3436, ISSN 1886-9912, Nº. 33, 2024, págs. 111-150
• Idioma: español
• Títulos paralelos:
  • Credit Scoring as personal data processing in light of the GDPR. Analysis of its purpose and influence on the possible secondary uses of the data
• Enlaces
  • Texto completo
• Resumen
  • español

    En virtud de los principios de crédito responsable que consagran la Directiva de Crédito al consumo (DCC) y la Directiva de Crédito Inmobiliario (DCI), las entidades financieras quedan obligadas a evaluar la solvencia de los solicitantes con carácter previo a la concesión del crédito. Ello se llevará a cabo empleando modelos estadísticos de credit scoring. Esta práctica comportará un tratamiento de datos personales sujeto al Reglamento General de Protección de datos (RGPD) que habrá de cumplir con los principios de protección de datos que consagra. De este modo, la adecuada identificación de la finalidad del tratamiento de datos será crucial, pues podría proyectar sus efectos en la habilitación de posibles usos secundarios de los datos por parte de las entidades de crédito, permitiéndoles ampliar el espectro de tratamientos posibles de estos datos. Finalmente, valoraremos el interés público como posible base de legitimación, las implicaciones del uso de la IA en la práctica y el tratamiento ulterior de datos seudonimizados.

  • English

    Under the principles of responsible lending enshrined in the Credit Agreements for Consumer Directive and the Credit Agreements for Residential Immovable Property Directive, financial institutions are obliged to assess the creditworthiness of applicants prior to granting credit. This will be carried out using statistical credit scoring models. This practice will entail the processing of personal data subject to the General Data Protection Regulation (GDPR), which will have to comply with the data protection principles it enshrines. Thus, the proper identification of the purpose of the data processing will be crucial, as it could project its effects on the enabling of possible secondary uses of the data by credit institutions, allowing them to broaden the spectrum of possible processing of these data. Finally, we will assess the public interest as a possible basis for legitimisation, the implications of the use of AI in practice and the further processing of pseudonymised data.