LHV Pank

Запрос по ст.15 GDPR направлен в LHV Pank с просьбой передать его DPO. Запрошены: все персональные данные, обрабатываемые банком и компаниями LHV группы (LHV Kindlustus, LHV Varahaldus, LHV Finance), включая транзакционные данные, кредитный скоринг, результаты поведенческого анализа и профилирование; цели и правовые основания обработки по ст.6(1) для каждой операции; все получатели данных — в том числе внутри группы, кредитные регистры (Creditinfo Eesti и иные), Финансовая инспекция и третьи лица; сроки хранения; применение автоматизированных решений и профилирования по ст.22 в части кредитного скоринга, систем противодействия мошенничеству и генерации персональных предложений — с логикой, значимостью и ожидаемыми последствиями; правовое основание для передачи данных внутри группы в связи с упомянутой в письме банка от 14.05 возможностью такой передачи. Срок — 30 дней.

LHV предоставил выписку с персональными данными в приложении. Транзакционные данные — доступны в интернет-банке и мобильном приложении в разделе «Konto väljavõte».

Благодарность за ответ и выписку. Зафиксировано, что ответ не охватил три конкретных вопроса из запроса от 14.05. (1) Автоматизированные решения и профилирование (ст.15(1)(h), ст.22): ответ «решения не принимаются исключительно автоматически» недостаточен — запрошено отдельное подтверждение по каждой системе (кредитный скоринг, противодействие мошенничеству, генерация персональных предложений); если профилирование по ст.4(4) применяется, запрошена логика, значимость и ожидаемые последствия. (2) Передача данных внутри LHV группы: в выписке получатели из группы (LHV Kindlustus, LHV Varahaldus, LHV Finance) не указаны; запрошено подтверждение — передаются ли данные в настоящее время и на каком правовом основании по ст.6(1). (3) Кредитные регистры: в выписке Creditinfo Eesti и иные регистры отсутствуют — запрошено подтверждение факта передачи и её основания. (4) Правовое основание для персональных предложений: запрошено уточнение — согласие (ст.6(1)(a)), договор (ст.6(1)(b)) или законный интерес (ст.6(1)(f)).

LHV предоставил развёрнутый ответ по всем четырём пунктам. (1) Автоматизированные решения: банк подтвердил, что не принимал в отношении клиента решений, основанных исключительно на автоматической обработке и влекущих правовые последствия. Кредитный скоринг не составлялся, поскольку кредитных заявок не поступало. Система противодействия мошенничеству работает автоматически в реальном времени и включает проверку санкционных списков, контроль по правилам противодействия отмыванию денег и валидацию данных владельца счёта; при выявлении нарушения транзакция передаётся на ручную проверку. Копия данных о применении мер противодействия мошенничеству не предоставляется — со ссылкой на § 893 Закона о кредитных учреждениях. Персональные предложения клиенту не формировались. (2) Передача данных внутри группы: данные в компании LHV группы не передавались. Передача возможна только при наличии согласия клиента, которое дано не было. (3) Кредитные регистры: данные в Creditinfo Eesti, Krediidiregister и иные кредитные регистры не передавались. (4) Правовое основание для персональных предложений: рассылка персональных предложений по e-mail, телефону и в мобильном приложении осуществляется на основании согласия (ст.6(1)(a)); информирование действующих клиентов об услугах банка и новостях в интернет-банке и мобильном приложении — на основании законного интереса (ст.6(1)(f)).