Cómo autorizar datos alternativos en una fintech de crédito
Hay clientes con un historial crediticio limitado que quedan fuera del alcance del score del buró, y un socio de telecomunicaciones ofrece datos adicionales. El área de cumplimiento señala que el RGPD lo impide. Con la autorización expresa del cliente, una entidad prestamista puede acceder a casi cualquier dato que tenga un tercero, incluidos datos de telecomunicaciones, servicios públicos, impuestos y gastos. La objeción de cumplimiento es que el cliente no sepa que se accede a sus datos.
La autorización del cliente permite acceder a sus datos
La autorización expresa del cliente permite el acceso conforme al RGPD, PSD2 y la directiva ePrivacy. Para que el consentimiento sirva de base al tratamiento según el RGPD, debe ser libre, específico, informado e inequívoco. Si el cliente no puede rechazar un servicio sin perderlo, su consentimiento puede no ser libre. La entidad prestamista debe poder demostrar que obtuvo el consentimiento, y el cliente debe poder retirarlo con la misma facilidad con que lo dio.
La entidad prestamista debe revisar las restricciones aplicables a cada fuente y uso. Para evaluar la solvencia de consumidores, la Directiva de crédito al consumo de la UE excluye las categorías especiales de datos y no considera las redes sociales una fuente externa. Los riesgos de modelado son otra cuestión, que se aborda en datos alternativos en el scoring crediticio.
Para consultar información de cuentas bancarias, PSD2 ofrece una vía mediante un servicio de información sobre cuentas con consentimiento explícito. Para determinados datos de tráfico de telecomunicaciones, ePrivacy exige el consentimiento previo del abonado para el tratamiento especificado.
Los datos de los consumidores pueden completar un historial crediticio limitado
En los préstamos a consumidores, empiece por definir qué puede evaluar con los datos: ingresos, gastos, flujo de caja, pagos recurrentes o verificación de domicilio. Después, identifique quién los tiene y cómo puede el cliente autorizar el acceso.
| Datos | Quién los tiene | Para qué sirven | Vía de acceso |
|---|---|---|---|
| Movimientos de la cuenta bancaria | El banco del cliente | Ingresos, gastos, flujo de caja, variaciones inesperadas de ingresos o gastos | Servicio de información sobre cuentas con consentimiento explícito |
| Pagos con tarjeta y gastos del consumidor | Banco, emisor de la tarjeta, aplicación de gastos | Patrones de gasto, gastos esenciales, capacidad de pago | Servicio de información sobre cuentas o un socio con autorización del cliente |
| Pagos de telecomunicaciones y uso del servicio | Operador de telefonía móvil | Historial de pagos cuando no hay historial crediticio, estabilidad del uso y antigüedad del número | Operador o proveedor de datos, con consentimiento previo |
| Facturas de servicios públicos | Empresa de energía, agua o gas | Historial mensual de pagos, verificación de domicilio | Empresa de servicios públicos o proveedor de datos, con autorización del cliente |
| Declaraciones fiscales y comprobantes de ingresos | Autoridad fiscal, cliente | Ingresos declarados, ingresos de trabajadores independientes | Autorización del cliente o documento que este proporcione |
| Pagos de alquiler y seguros | Arrendador, aseguradora, proveedor de pagos | Historial de pagos recurrentes | Proveedor o socio con autorización del cliente |
| Ingresos en una plataforma de trabajo por encargo | Plataforma de transporte o entregas | Ingresos de trabajadores por encargo y su regularidad | La plataforma o una exportación de datos del cliente |
Estas fuentes aportan información cuando el historial del buró es limitado. Cada fuente tiene su propia vía de acceso. Verifique quién la tiene y qué autorización se requiere en cada caso.
Los datos comerciales muestran la actividad de una pequeña empresa
En los préstamos a microempresas y pymes, interesa saber cómo marcha el negocio: su flujo de caja, ventas, pagos recibidos y patrones de pago. Las ventas en una plataforma pueden ser útiles si la empresa opera en ella, pero la plataforma o la empresa debe habilitar una vía autorizada para acceder a los datos.
| Datos | Quién los tiene | Para qué sirven | Vía de acceso |
|---|---|---|---|
| Movimientos de la cuenta bancaria de la empresa | El banco de la empresa | Flujo de caja, ingresos, movimientos de entrada y salida de dinero | Servicio de información sobre cuentas con consentimiento explícito |
| Ventas en un marketplace o una plataforma de comercio electrónico | La plataforma | Volumen y tendencia de ventas, actividad de la empresa en la plataforma | La plataforma como socio, con autorización del titular del negocio |
| Adquirencia de tarjetas y datos de terminales de punto de venta (POS) | Adquirente, proveedor de pagos | Ingresos diarios, estacionalidad | El adquirente como socio |
| Pagos de plataformas de entregas y transporte | La plataforma | Ingresos de un restaurante o de un negocio de entregas o transporte | La plataforma como socio o una exportación de datos del titular del negocio |
| Pagos de telecomunicaciones y servicios públicos de la empresa | Operador, empresa de servicios públicos | Historial de pagos, domicilio del establecimiento y uso | Proveedor con consentimiento |
| Declaraciones fiscales | Autoridad fiscal, empresa | Ingresos y utilidades declarados | Autorización del titular del negocio o documentos presentados |
Separe las fuentes de consumidores y empresas en el plan de producto. Quién tiene los datos, qué autorización se necesita y qué restricciones aplican puede variar.
Defina la vía de acceso antes de contratar a un proveedor
Elija una vía para cada fuente. Revise cómo recibirá los datos y qué facultades tiene el proveedor para suministrarlos.
- Cuentas bancarias. Para consultar información de cuentas en línea, recurra a un servicio de información sobre cuentas con el consentimiento explícito del cliente. Verifique al proveedor en el registro público de su Estado miembro de origen o en el registro central de la EBA. El servicio abarca solo las cuentas designadas y las operaciones asociadas. Las credenciales de seguridad personalizadas deben quedar en manos del cliente.
- Datos de telecomunicaciones y servicios públicos. Contacte al operador, la empresa de servicios públicos o su proveedor. Para los datos de tráfico de telecomunicaciones pertinentes, revise cómo obtiene y registra el operador el consentimiento previo del abonado.
- Datos de plataformas. Recurra a un acuerdo con la plataforma o, cuando esté disponible, a una exportación de datos del cliente. Las credenciales de acceso a la plataforma deben quedar en manos del cliente. Las condiciones de uso de Uber en EE. UU. prohíben autorizar a un tercero a usar la cuenta. Revise las condiciones de cada plataforma y tipo de cuenta.
- Tratamiento de datos por cuenta de su entidad prestamista. Si un proveedor trata datos personales por cuenta de su entidad, compruebe que el contrato de tratamiento y las garantías del proveedor cumplan los requisitos aplicables.
Defina una alternativa para cuando una fuente no esté disponible. La secuencia de fuentes de datos establece el orden de las fuentes y la alternativa si una no devuelve resultados.
Compare el precio del socio con el valor para la cartera
Acuerde el precio por solicitud o por resultado y cualquier reparto de ingresos antes de comprometerse. Después, compare ese costo con el ahorro o el cambio que los datos pueden aportar a la decisión.
Una fuente puede ayudar a identificar a más solicitantes que conviene rechazar, pero también puede señalar a buenos solicitantes. Esos falsos positivos tienen un costo, al igual que los préstamos incobrables que se rechazan pueden evitar pérdidas. Evalúe cualquier mejora en aprobaciones o pérdidas con los datos de la propia cartera. Use la herramienta para calcular la rentabilidad de los datos alternativos y compare el precio con la tasa de aciertos, los solicitantes buenos y malos rechazados y el ahorro esperado.
Solicite una autorización clara, separada y demostrable
Pida la autorización como una parte independiente de la solicitud y use lenguaje claro que indique la fuente, los datos y la finalidad. Si es posible evaluar el préstamo sin esos datos, el cliente debe poder rechazar la autorización y aun así acceder a ese préstamo. Antes de que el cliente autorice el acceso, explíquele que puede retirar la autorización y haga que retirarla sea tan fácil como otorgarla.
Una acción adicional, como ingresar un código SMS, puede confirmar la autorización del cliente. El cliente también debe poder ver qué aceptó. Las directrices del EDPB sobre el consentimiento indican que el registro debe permitir demostrar cómo y cuándo se obtuvo el consentimiento y qué información vio el cliente en ese momento. Conserve el registro mientras continúe el tratamiento, y asegúrese de que tanto la entidad prestamista como el socio puedan presentarlo ante una reclamación.
En una evaluación de solvencia de consumidores en la UE, excluya los datos de redes sociales y las categorías especiales de datos. El consentimiento del cliente no elimina esa restricción.
Verifique la autorización antes de consultar al proveedor
La entidad prestamista registra la autorización en su propio sistema de solicitudes, fuera de Decisimo. Envíe el registro junto con la solicitud y compruebe que exista y que identifique la fuente antes de consultar los datos. Si falta o identifica otra fuente, detenga la consulta. La llamada a los datos puede configurarse como una fuente en un flujo de decisiones.
Conserve la traza de decisión de la ejecución junto con la respuesta del proveedor para que el equipo pueda investigar lo ocurrido si llega una reclamación. Una llamada fallida al proveedor debe distinguirse de un resultado sin coincidencias. Este artículo ofrece información general. El asesor legal de su entidad puede orientarla sobre su caso concreto.
Retome el segmento de clientes con poco historial crediticio y la propuesta del socio de telecomunicaciones. La propuesta aún puede avanzar, siempre que el cliente vea y confirme el acceso y exista un registro. Antes de poner el plan en marcha, revise en orden la decisión sobre el acceso:
- Enumere los datos que necesita, quién los tiene y qué decisión ayudan a tomar. Mantenga separados los préstamos a consumidores y a empresas.
- Elija la vía para cada fuente: un servicio de información sobre cuentas para cuentas bancarias, el titular o su proveedor para datos de telecomunicaciones y servicios públicos, y un acuerdo con la plataforma o una exportación del cliente para datos de plataformas.
- Revise la situación y las prácticas del proveedor: verifique a los proveedores de información sobre cuentas en el registro correspondiente, compruebe cómo se obtiene el consentimiento del abonado para los datos de telecomunicaciones y revise las garantías del encargado cuando trate datos por cuenta de la entidad prestamista.
- Acuerde las condiciones comerciales, incluido el precio por solicitud o resultado y cualquier reparto de ingresos. Después, compare el precio con el ahorro previsto y el costo de los falsos positivos.
- Redacte una autorización independiente, en lenguaje claro, que identifique la fuente, los datos y el propósito. Facilite retirarla tanto como darla.
- Confirme la autorización, por ejemplo, con un código SMS. Conserve pruebas de cuándo y cómo se otorgó y de qué información vio el cliente. Tanto la entidad prestamista como el socio deben poder acceder al registro.
- Incluya el registro en la decisión, detenga la consulta si falta o identifica una fuente incorrecta y conserve la traza de la ejecución junto con la respuesta del proveedor.
Preguntas sobre la autorización para usar datos alternativos
¿El consentimiento del cliente basta para usar datos alternativos según el RGPD?
No. El consentimiento debe ser libre, específico, informado e inequívoco, y la entidad prestamista debe poder demostrar que lo obtuvo. No anula otras restricciones legales. Si los datos no son necesarios para el préstamo, solicite la autorización por separado de las condiciones del crédito y revise las restricciones aplicables a la fuente y al uso.
¿Qué debe incluir el registro de autorización del cliente?
Debe mostrar cuándo y cómo se otorgó la autorización y qué información vio el cliente en ese momento. Conserve la prueba de confirmación mientras continúe el tratamiento y permita que la entidad prestamista y el socio accedan a ella.
¿Puede una entidad prestamista consultar los datos bancarios de un cliente según PSD2?
Sí. Puede hacerlo mediante un servicio de información sobre cuentas en línea y con el consentimiento explícito del cliente. El servicio abarca solo las cuentas designadas y las operaciones asociadas. Las credenciales de seguridad personalizadas deben quedar en manos del cliente. Verifique el registro o la exención del proveedor en el registro público correspondiente.
¿Puede una entidad prestamista usar datos de telecomunicaciones para evaluar el crédito?
Sí. Según ePrivacy, un operador puede tratar datos de tráfico para prestar un servicio de valor añadido si cuenta con el consentimiento previo del abonado, quien puede retirarlo. Antes de usar esos datos en una decisión crediticia, revise la vía de acceso y las restricciones aplicables.
¿Puede un proveedor de datos iniciar sesión en la cuenta de una plataforma del cliente por cuenta de la entidad prestamista?
No recurra a esa vía. Las condiciones de uso de Uber en EE. UU. prohíben autorizar a un tercero a usar la cuenta, y no establecen las condiciones de otras plataformas ni de otros tipos de cuenta. En su lugar, acuerde el acceso con la plataforma o use la exportación de datos del cliente.
¿Qué datos no deben usarse para evaluar la solvencia de consumidores en la UE?
No use categorías especiales de datos del RGPD ni datos de redes sociales para la evaluación. La Directiva de crédito al consumo de la UE excluye las categorías especiales de datos y establece que las redes sociales no son una fuente externa para este fin. Revise los requisitos aplicables al producto y al mercado.
¿Qué datos alternativos sirven para préstamos a microempresas y pymes?
Los movimientos de las cuentas de la empresa pueden ayudar a evaluar el flujo de caja y los ingresos. Las ventas en plataformas, los pagos recibidos, los datos de adquirencia, los pagos de telecomunicaciones y servicios públicos y las declaraciones fiscales pueden aportar información sobre la actividad y los patrones de pago. Elija la vía de acceso según quién tenga cada fuente.
¿El cliente debe aceptar una decisión crediticia automatizada?
No en todos los casos. El RGPD contempla una excepción para decisiones basadas únicamente en tratamiento automatizado que tengan efectos significativos, cuando se basen en el consentimiento explícito o sean necesarias para celebrar un contrato. También exige medidas de protección, como la intervención humana, la posibilidad de expresar un punto de vista y el derecho a impugnar la decisión. Incorpore esas medidas al proceso de decisión y revise las normas de crédito al consumo aplicables.
