"При этом «Яндекс» не может определить, по какому именно пользователю поступил запрос"

Ну что за бред? Они по логам не смогут видеть это? :D 

Передача данных в зашифрованном виде тоже под вопросом. Насколько это надежные алгоритмы и как происходит расшифровка? 

Ну и наконец, где гарантия отсутствия злоупотреблений со стороны сотрудников банков, которые смогут сливать дампы скоринга на основе просмотренных мной порносайтов?