Compliance-positur for et grænseoverskridende forbrugslåns-netværk

Den europæiske GDPR er én forordning, anvendt i syvogtyve nationale kontekster, med syvogtyve tilsynsmyndigheder, der alle har lidt forskellige opfattelser af, hvad "eksplicit samtykke" betyder i en forbrugskredit- sammenhæng.

Hvis du opererer på tværs af flere af de jurisdiktioner — som vi gør — kan du enten køre separate programmer per marked eller finde højeste fællesnævner og anvende den overalt. Vi valgte det sidste.

Hvordan det ser ud i praksis

Samtykke-UI er identisk på tværs af markeder. Ordlyden er oversat, mekanikken er den samme. Lagdelt, opt-in, med eksplicit formål. Ingen forhåndsafkrydsede felter nogen steder, heller ikke i markeder hvor det teknisk set er tilladt.

Audit-log-granularitet er sat efter den strengeste tilsynsmyndighed. Den hollandske DPA har været mest aktiv i at granske finansielle ydelsers samtykke-mekanik; vi anvender deres granularitets-forventninger overalt. Hvis den danske tilsynsmyndighed aldrig spørger til form_version_seen_at_consent_time, logges feltet alligevel. Omkostning er triviel; gevinst er reel.

Underdatabehandlere evalueres efter den strengeste data-residens- standard. Nogle markeder tillader mere lempelige overførsler; den slack udnytter vi ikke. Kun EU-resident, punktum.

Sletningsvinduer er sat til den korteste lovkrævede periode. Nogle markeder tillader 36 måneders opbevaring af tilbageholdt ansøgerdata; vi gemmer det 24, medmindre långiveren juridisk kræver mere af hensyn til sin egen registrering.

Hvorfor det ikke bare er compliance-teater

To grunde.

For det første: tilsynsmyndighedernes tillid er holdbar. Skulle vi nogensinde stå over for spørgsmål i ét marked om hvordan vi håndterer data, er svaret: "præcis som vi håndterer det i din strengeste peer-tilsyns- myndigheds marked". Det svar er en hel del hurtigere end at rekonstruere, hvad vi gjorde for tre år siden.

For det andet: partner-salgscyklusser bliver kortere. Når en långiver beder om en DPA, vil de ikke forhandle syv varianter. De vil have ét dokument der opfylder deres krav. At standardisere opad betyder, at den DPA vi rækker dem allerede er streng nok.

Hvad vi gør per marked

Tre ting er uundgåeligt per-marked, og dem prøver vi ikke at standardisere:

• Fortrydelsesfrister — forskellige forbrugskredit-fortrydelsesperioder per land.
• Pre-kontrakt-informationskrav — hvad ansøgeren skal se før de underskriver.
• Lokalt sprog — oversættelses-akkuratesse via native speakers, ikke LLM.

Alt andet er identisk på tværs af markeder og testet mod den strengeste tilsynsmyndigheds publicerede vejledning.

Hvad vi ville gøre anderledes

Hvis vi startede i dag, ville vi bygge audit-loggen først og routing- motoren bagefter. Det meste af vores retrofitting i år 2–4 handlede om at tilføje audit-felter, vi burde have indsamlet fra dag ét. Logning er billigt, sletning er let; ikke at have en record når en tilsynsmyndighed spørger, er dyrt.