CRA'lerin GDPR uyumluluğu: Twitter'ın merceğinden bakarak

Çeşitli kaynaklardan tüketiciler ve işletmeler hakkında bilgi toplayan Kredi referans ajansları (CRA'lar), birçok kuruluşun, başvuru sahiplerinin ve hizmetlerinin müşterilerinin kredi itibarını değerlendirmesine yardımcı olur. CRA'ların iş modeli, Avrupa Birliği'nin yeni GDPR (Genel Veri Koruma Yönetmeliği) gibi işlerini yürüttükleri farklı ülkelerde ilgili yasal çerçeveler dahilinde işlenmesi gereken son derece hassas olanlar da dahil olmak üzere yüksek hacimli kişisel verilerin işlenmesine dayanır. Bu belge, Twitter'daki CRA ve GDPR ile ilgili tartışmaların veriye dayalı bir analizini bildirmektedir. Analizimiz, en büyük üç çok uluslu CRA'yı kapsamaktadır: Equifax, Experian ve TransUnion ve ayrıca Birleşik Krallık'ın veri koruma otoritesi ICO ve iki Birleşik Krallık merkezli gizlilik savunucu STK, Privacy International ve Open Rights Group (ORG) 'ye de baktık. Resmi Twitter hesaplarının herkese açık tweet'lerini ve onlar hakkında konuşan diğer herkese açık tweet'leri analiz ettik. Analizimiz, genel kamuoyunda CRA ve GDPR ile ilgili veri gizliliği sorunlarına ilişkin çok şaşırtıcı bir farkındalık eksikliğini ve ilgili GDPR ile ilgili gizlilik konularında genel kamuoyuna CRA'ların aktif iletişiminin şaşırtıcı bir eksikliğini ortaya çıkardı: toplanan 39.549 tweetten sadece 153 alakalı tweet belirledi. Bu az sayıdaki tweet'e, veri sahibi haklarını veya gizlilik sorunlarını doğrudan değil, özellikle CRA'ları etkileyen veri ihlalleri başta olmak üzere güvenlik sorunlarından bahsedilmektedir. İkinci aşamada, önceden eğitilmiş model BERT ve sinir ağı algoritmalarını kullanarak otomatik bir metin sınıflandırması uyguladık. Tüm seti GDPR / CRA_Related, GDPR/CRA_Unrelated ve NONGDPR olmak üzere üç ana etikete bölerek makinemizi eğittik ve manuel etiketleme sırasında eksik veri olup olmadığını bulmak için modeli ham 39.549 veriye uyguladık. Hem otomatik hem de manuel sonuçlar tutarlı sonuçlar verdi. Hem manuel hem de otomatik sonuçlarda tweetlerin çoğunun bireyler tarafından atıldığı görülmektedir. Çalışmamız, CRA'ların GDPR açısından veri gizliliği tartışmaları konusunda öne çıkmayı tercih etmediğini ortaya koyuyor.