GDPR и банкинг: что ваш банк вправе и не вправе делать с вашими данными
Банки хранят о вас больше чувствительных данных, чем почти любой другой бизнес. GDPR ограничивает, что они могут с ними делать. Простым языком — ваши права.
Ваш банк хранит самые чувствительные данные о вас: доход, паттерны трат, контрагентов, локации, отпечатки устройств. GDPR (General Data Protection Regulation, действует с 2018) задаёт строгие правила по использованию этого и по тому, что вы можете требовать.
Что они могут по умолчанию
Обрабатывать ваши транзакции. Верифицировать вашу личность. Мониторить фрод. Выполнять AML-обязанности (это правовое основание, которое банк использует без вашего согласия). Делиться данными с регуляторами и налоговыми по закону. Хранить записи транзакций в течение юридически обязательного срока (обычно 5 лет в ЕС, больше в некоторых юрисдикциях).
Для чего им нужно ваше явное согласие
Маркетинг — промо-предложения о продуктах, которые вы не запрашивали. Передача данных партнёрам в коммерческих целях. Поведенческое профилирование с решениями, значимо на вас влияющими (хотя у «фрод-скоринга» своё правовое основание). Исследовательское использование за пределами анонимизированных агрегатов.
Ваши права
Доступ: запросить копию каждого данного и объяснений, как они используются. Исправление: исправить неточные данные. Удаление: удалить данные, в которых больше нет нужды (ограничено юридическими сроками хранения). Переносимость: получить ваши данные в машинно-читаемом формате для миграции к другому провайдеру. Возражение: прекратить обработку по «законному интересу» (не применимо к юридическим обязанностям вроде AML). Отказ от полностью автоматизированных решений со значимыми эффектами.
Передача за пределы ЕЭЗ
Если ваш банк использует американских сервис-провайдеров (часто для облачного хостинга), передача разрешена через EU-US Data Privacy Framework или Standard Contractual Clauses. Политика конфиденциальности банка должна раскрывать эти передачи.
Что делать с жалобой
Сначала поднимите её с Data Protection Officer банка (у каждого регулируемого банка он есть, контакты публичны). Если не разрешили — эскалация в орган по защите данных страны, где учреждён банк. В Нидерландах это Autoriteit Persoonsgegevens. DPA может наложить штраф до 4% годового оборота за серьёзные нарушения.