ФИНАНСОВЫЕ УСЛУГИ
Кредиты, лизинг, страхование: форма предварительного одобрения — это автоматизированное решение
Форма, которая спрашивает IDNP и месячный доход и через три секунды отвечает одобренной суммой, — не форма обратной связи. Это автоматическая оценка, а у ст. 22 для неё собственные правила.
Что мы видим в финансовых услугах
Мгновенное предварительное одобрение без единого слова о его логике
Когда ответ приходит автоматически и имеет последствия для человека, ст. 22 требует информировать о задействованной логике, о значении и последствиях обработки и о праве на вмешательство человека.
IDNP, запрашиваемый до того, как появился договор
Государственный идентификатор, собранный «чтобы посмотреть, подходите ли вы», должен иметь основание в момент сбора, а не в момент подписания.
Ремаркетинг на странице заявки на кредит
Сам факт, что человек открыл страницу займа, — коммерчески чувствительная информация. Отправленная пикселю, она становится раскрытием третьей стороне.
Политика, написанная для другой компании
Узнаётся мгновенно: другое имя в тексте, другой адрес, другой год, орган другой страны. В поднадзорной отрасли скопированная политика — первое, что заметит внимательный читатель.
Что сканирование обычно находит в финансовых услугах
Идентификаторы — из движка. Реальные частоты Барометр считает по выполненным сканированиям.
Политика не заявляет основание обработки
policy.legal_basisБез заявленного основания даже самую корректную обработку невозможно проверить снаружи.
Политика не заявляет сроки хранения
policy.retention«Ограниченный период» — не срок. Статья 5 требует ограничения хранения, а не эластичной формулировки.
Политика не называет надзорный орган
policy.authority_cnpdcpЧеловек должен узнать из политики, куда жаловаться: CNPDCP.
Форма отправляет данные по незащищённому соединению
forms.insecure_actionС IDNP и доходом в полях эта находка закрывает разговор.
Нет политики безопасности содержимого
transport.cspЗаголовок, ограничивающий источники скриптов. На финансовой форме его отсутствие имеет значение.
Передача в юрисдикцию высокого риска
jurisdiction.high_risk_transferНаходка, которую движок выдаёт, когда техническое назначение находится в стране без решения об адекватности.
Барометр — агрегированные цифры по реально просканированным сайтам, пересчитываемые ежедневно. Мы не вписываем проценты в текст: мы их считаем.
Чем это грозит конкретно
- Права субъекта данных по ст. 12–22, включая ст. 22 об автоматизированных индивидуальных решениях, попадают в уровень ст. 88 ч. (2): до 2 000 000 леев или 2% общего оборота за год, предшествующий санкции, — применяется большая величина.
- Безопасность обработки (ст. 32) и уведомление о нарушении (ст. 33) — обязанности оператора, уровень ст. 88 ч. (1): до 1 000 000 леев или 1%, также по большей величине.
- Статья 90 ч. (4): 10% в первый год, 40% во второй, 100% с третьего.
Чего сканирование не видит
- Модель скоринга и данные, на которых она работает. Это аудируется в документации и в коде, с разрешённым доступом.
- Что происходит с отклонённой заявкой и сколько она хранится.
- Договоры с бюро кредитных историй и поставщиками проверки личности — там применяется ст. 28.