Переважна кількість розвинених країн у вирішенні цього питання керується законами, що регулюють відносини у сфері захисту персональних даних та інформації, а також споживчого кредитування.
Наприклад, при здійсненні діяльності німецьке кредитне бюро керується спеціальним федеральним законом (Federal Data Protection Act); кредитне бюро Франції у своїй діяльності керується законом щодо захисту персональної інформації (Data Protection Act, 1984).
Бюро кредитних історій Канади функціонує відповідно до закону щодо захисту персональної інформації та електронних документів (Personal Information Act). Проте слід зазначити, що кожна провінція Канади має власні особливості функціонування та діяльності кредитних бюро.
У Європі та США застосовуються різні підходи до збору та захисту персональних даних [81].
У США діють декілька законів, що регулюють збір та розповсюдження персональних даних. Щодо надання кредитних звітів кредитними бюро то у 1971 році (зі змінами 1966 р) США прийнятий окремий Закон про сумлінну кредитну інформацію (Federal Fair Credit Reporting Act), що докладно регулює видачу кредитних історій. Цей закон визначив право продавати інформацію про споживача без його згоди. На думку багатьох фахівців дія цього правового акту не гарантує достатнього захисту особистого життя громадян, що є суттєвим недоліком. Також недоліком американського законодавства є покладання на громадян обов’язку робити активні дії з метою обмеження використання і розповсюдження інформацій щодо них, замість зобов’язання кредитних бюро на отримання згоди від громадян на використання персональних даних щодо них.
Законодавство країн-членів Європейського союзу підпорядковано Директивам ЄС і відображає їх основні принципи. Вимоги ЄС з питань захисту персональних даних при їх збиранні та обробці викладені у декількох документах ЄС, основними з яких:
1) Конвенція Ради Європи про захист особи у зв’язку з автоматичною обробкою персональних даних (28.01.1981 р).
2) Директива 95/46/ЄС Європейського парламенту і Ради Європейського союзу від 24 жовтня 1995 року ”Про захист прав приватних осіб відповідно до обробки персональних даних і вільному пересуванні таких даних" (1995 рік). (“Директива про приватність”).
3) Директива 97/66/ЄС Європейського парламенту і Ради Європейського Союзу від 15 грудня 1997 року стосовно обробки персональних даних і захисту приватності у телекомунікаційному секторі.
Політика ЄС спрямована на те, щоб країни-члени ЄС в своїх законах керувались принципами, закладеними в Директивах ЄС.
Спільним у законодавстві наведених вище країн є підходи щодо цільового використання інформації, визначення кола осіб, яким може бути надана ця інформація, визначення строку її зберігання, відповідальність за порушення закону та визначення регулюючих органів.
Розбіжності в національних підходах стосуються таких питань, як сфера дії законодавчого акту, акцентування в ньому різних елементів системи захисту, різні норми щодо ліцензування діяльності та механізмів контролю у вигляді спеціальних органів нагляду, визначення даних, що не підлягають розголошенню, методи забезпечення відкритості та індивідуальної участі.
Україні, враховуючи Закон України “Про загальнодержавну програму адаптації законодавства України до законодавства ЄС” доцільно при встановлені підходів до збору, обробки, захисту персональних даних орієнтуватися на Директиви Європейського Союзу.
Основні принципи, що стосуються збору, якості та захисту персональних даних, що встановлені в Європейському законодавстві, є наступними:
“Персональні дані” — означають будь-яку інформацію, яка пов’язана з ідентифікованою або ідентифікуємою фізичною особою (суб’єктом даних). Ідентифікуємою особою є особа, яка може бути ідентифікована прямо або опосередковано, зокрема, шляхом посилання на ідентифікаційний номер або на один чи декілька факторів, специфічних для її фізичної, психологічної, культурної або соціальної ідентичності. (Директива 95/46/ЄС). Персональні дані повинні:
1. Оброблятись коректно і законно.
2. Збиратись для об’явлених і законних цілей.
3. В подальшому не оброблятись будь-яким чином, що є несумісним з цими цілями.
4. Бути адекватними, відноситись тільки до справи і не бути надмірними по відношенню до цілей, для яких вони збираються.
5. Дані повинні бути точними і в разі необхідності оновлюватися.
6. Повинні бути зроблені відповідні кроки, щоб неточні, або неповні дані, відповідно до цілей, для яких вони збирались уточнювалися чи були видалені.
7. Дані повинні зберігатися у формі, що дозволяє ідентифікацію суб’єктів даних не довше, ніж це необхідно для цілей, для яких ці дані збиралися.
за виконанням вимог щодо якості персональних даних, які збираються повинен бути встановлений контроль.
на деякі персональні дані накладені обмеження щодо їх збирання, обробки і розповсюдження. Це дані, що стосуються: національності, расового чи етнічного походження; політичних поглядів; релігійних чи інших філософських переконань; стану здоров’я; сексуального життя; членства в профспілках.
Держави-учасниці повинні забезпечити, щоб особисті дані оброблялись лише у випадках, коли:
1) суб’єкт даних недвозначно давав свою згоду;
2) обробка даних необхідна в цілях забезпечення законних інтересів контролера чи третьої сторони (строк), яким розкриті дані, окрім випадків, коли такі інтереси перекривляються інтересами фундаментальних прав та свобод суб’єкта даних, захист яких вимагається згідно законодавства.
для суб’єкта даних повинно бути надано право бути повідомленим:
а) про наявність автоматизованої бази персональних даних;
б) про контролера бази даних або його представника чи місцезнаходження;
в) про цілі обробки, для яких призначені дані;
г) про одержувачів чи категорії одержувачів даних;
д) чи є відповідь на запитання обов’язковою і добровільною, а також можливі наслідки відмови від відповіді.
для суб’єкта даних повинно бути встановлено:
1) право доступу до даних, що стосуються його особи;
2) права вимагати уточнення даних, що його стосуються в тій мірі, в якій потрібна додаткова інформація, що стосується конкретних обставин, при яких збираються дані для гарантування коректної обробки стосовно до суб’єкта даних;
3) право вимагати знищення даних, якщо вони оброблені з порушенням положень національного права.
обробник інформації повинен забезпечувати конфіденційність та безпеку обробки інформації, повинен повідомити наглядовий орган щодо даних, які він збирається збирати та обробляти.
Країни-учасники повинні визначити, які операції по обробці даних можуть представляти ризик для прав суб’єктів даних і повинні контролювати та перевіряти такі операції до їх початку, та встановити заходи по забезпеченню гласності операцій по обробці таких даних.
Тенденція розвитку кредитних бюро у світі свідчить про те, що переважна кількість бюро створюється в якості приватних, комерційних установ.
Основними засновниками кредитних бюро, які створюються в останній час, виступають самі кредитні установи. В основному, це банки за участю Асоціацій банків (Туреччина, Польща, Мексика, Естонія, Нідерланди, Сінгапур тощо).
При цьому, не зважаючи на множинність кредитних бюро у деяких країнах, де кредитні бюро діють багато років, прослідковується велика ступінь концентрації капіталу, коли домінуючу роль грають одне, два кредитних бюро, які надають весь комплекс інформації (США, Велика Британія, Японія, Австралія, Німеччина тощо). Інші кредитні бюро займають дрібні ніші, надаючи окремі види інформації.
В окремих країнах, поряд з приватними кредитними бюро, діють як інформаційні посередники, так звані інститути державної реєстрації кредитів — Public Credit Registers (PCR). Відмінність PCR від кредитних бюро в тому, що в основному надання даних є обов’язковим і встановлено окремим правилом; інформація є стандартизованою (кредити вище встановленого рівня), і основні дані стосуються кредитів, а не позичальника. В основному PCR керуються центральними банками чи органами банківського нагляду. При цьому доступ до інформації в основному мають працівники центрального банку і банки, що надають інформацією.
Учасниками кредитних бюро є організації-кредитори, які, з одного боку, є джерелами постачання інформації (передають дані по позичальниках), а з другого боку, виступають в якості користувачів кредитних звітів.
Учасниками кредитного бюро виступають банки, кредитні спілки, лізингові компанії, компанії емітенти кредитних карток, страхові компанії, фірми, які надають послуги з відстрочкою платежу (підприємства стільникового зв’язку, підприємства-орендодавці) тощо.
Основний підхід щодо участі у кредитному бюро базується на тому, щоб основна діяльність організації була пов’язана з наданням кредитів, інших послуг у кредит та учасник брав на себе зобов’язання щодо постійної передачі інформації до кредитного бюро, не розповсюджував отриману з Бюро інформацію і чітко виконував правила роботи з кредитним бюро та інформацію.
Суб’єктами кредитних історій можуть виступати як фізичні, так і юридичні особи. Світова практика дозволяє зробити висновок, що не існує уніфікованого підходу до визначення суб’єктів (юридичних чи фізичних осіб), щодо яких збираються кредитні історії. Головна причина цьому — відмінність законодавчого поля країн, у яких створені системи обміну інформацією.
Країни, де порівняно недавно створені системи обміну інформацією на основі приватних кредитних бюро (Мексика, Туреччина, Італія) тощо, рухаються шляхом створення загальних баз даних суб’єктів кредитних історій як юридичних, так і фізичних осіб.
Більшість європейських країн (Німеччина, Бельгія, Великобританія і т.д.) потребує отримання згоди суб’єктів кредитних історії на надання інформації при передачі даних від кредитора до бюро кредитних історій, при передачі сформованого звіту від кредитного бюро кредитору і при наданні інформації третім особам.