Itävaltalaisen luottotietoviraston CRIF:n tietovirtoja koskeva tutkimus on tuonut lisävalaistusta asiaan: suurin osa CRIF:n tietokannan osoitetiedoista on peräisin AZ Directin (Bertelsmann-konserni), Compass-Verlagin ja DPIT:n osoitteiden välittäjiltä Wienissä. Mutta mistä nämä osoitekauppiaat saavat tietonsa? Uusi noyb arviointi, johon osallistui yli 2 400 asianomaista henkilöä, osoittaa, että ne käyttävät julkisia rekistereitä, kuten yritys- ja maarekistereitä, yhdistysrekisteriä ja vuonna 2015 käyttöön otettua yritystietojärjestelmää (GISA). Compass mainitsee tietolähteeksi myös kauppakamarin (WKO). On kuitenkin epäselvää, mistä AZ Direct (CRIF:n suurin tietojen toimittaja) saa tietonsa. AZ Direct sanoo, ettei se tiedä, mistä se on saanut tiedot 7 miljoonasta Itävallan asukkaasta.
Julkisista rekistereistä poimitut tiedot. Luottokeskus CRIF saa suurimman osan osoitetiedoistaan AZ Directin, Compass-Verlagin ja DPIT:n osoitevälittäjiltä. CRIF-hankkeen yli 2 400 osallistujan puolesta tehtyjen käyttöoikeuspyyntöjen ansiosta tiedämme nyt, että nämä kolme osoitevälittäjää käyttävät ensisijaisesti julkisia rekistereitä, kuten kaupparekisteriä, yritysrekisteriä, yhdistysrekisteriä ja kaupparekisteriä.
Max Schrems, puheenjohtaja noyb: "Näitä rekistereitä ei tietenkään ole varsinaisesti tarkoitettu tietojenvälittäjien toiveiden tyydyttämiseen, vaan oikeuksien, omistusoikeuden ja edustusvaltuuksien todistamiseen."
Kiinteistörekisteri, kaupparekisteri, ZVR, GISA ja WKO. Compass-Verlag ilmoittaa usein saaneensa tietoja kaupparekisteristä, yhdistysrekisteristä (ZVR) ja kaupparekisteristä (GISA). Myös kauppakamari (WKO) esiintyy lähteenä ja välittää ilmeisesti tietoja omilta jäseniltään. DPIT puolestaan ilmoittaa, että se käyttää kiinteistörekisteriä, kaupparekisteriä ja kaupparekisteriä. Tämä tarkoittaa, että jokainen itsenäinen ammatinharjoittaja, jokainen kiinteistönomistaja ja jokainen yhdistyksessä toimiva henkilö on mahdollisesti kirjattu. Luottoluokituksessa ei kuitenkaan käytetä tietoja omaisuudesta tai yritystoiminnasta. Sen sijaan käytetään vain nimiä, syntymäaikoja ja osoitteita.
Max Schrems: "Julkisia rekistereitä käytetään osoitekirjoina, eikä niiden varsinainen tarkoitus ole tarjota taloudellista tai oikeudellista näyttöä. Lopulta taloudellisesti merkityksellisiä tietoja ei käytetä lainkaan luottoluokituksessa - kyse on vain kantatiedoista."
Hallitus ei tee mitään torjuakseen julkisten rekistereiden "kaavintaa"? Julkiset rekisterit ovat välttämättömiä hyvin hallinnoidussa oikeusvaltiossa (esimerkiksi sen tarkistamiseksi, onko jollakulla elinkeinolupa tai onko hän kiinteistön omistaja). Aiemmin tämä oli tehtävä manuaalisesti. Digitalisoinnin ansiosta useimmat rekisterit ovat nykyään saatavilla myös verkossa, mutta ilmeisesti usein ilman riittävää suojaa laajamittaista "kaavintaa" vastaan. Perussuojatoimenpiteet, kuten captchat, IP-osoitekohtaiset kyselyrajoitukset tai ehdot, joissa selvästi määrätään, että tietoja saa käyttää vain tiettyihin tarkoituksiin (esim. elinkeinon harjoittamisen, omistuksen tai edustusvallan todentamiseen), näyttävät puuttuvan.
Max Schrems: "Itävallasta puuttuvat selkeät tekniset ja oikeudelliset määräykset, joilla estettäisiin joukkokaapiminen muihin tarkoituksiin. Kaikki, jotka yrittävät suojella yksityisyyttään, joutuvat tällä hetkellä valtion "paljastettaviksi" - ja yritykset keräävät näitä tietoja laajamittaisesti. On korkea aika, että poliitikot hillitsevät tätä väärinkäyttöä teknisillä kyselyrajoituksilla ja selkeillä käyttötarkoitusrajoituksilla. Emme ylläpidä yhdistysrekisteriä mainosalalle tai datakauppiaille."
Laki on selkeä: julkisiin rekistereihin sovelletaan "käyttötarkoitussidonnaisuutta". On selvää, että tämä kaupallinen uudelleenkäyttö ei ole yleisen edun mukaista, ja lisäksi se rikkoo yleisen tietosuoja-asetuksen tarkoituksen rajoittamista koskevaa periaatetta Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdassa. Itävallan tietosuojaviranomainen (DSB) on jo päättänyt asiakirjarekisterin osalta, että esimerkiksi jatkokäsittely mainostarkoituksiin on yleisen tietosuoja-asetuksen vastaista. Tunnettu EU:n tuomioistuimen päätös oikeudesta tulla unohdetuksi koski myös laillisesti julkaistuja tietoja, joita Google Search ei kuitenkaan voinut yksinkertaisesti käyttää uudelleen.
Max Schrems: "Se, että tiedot ovat julkisesti saatavilla, ei tarkoita, että niitä voidaan käyttää mihin tahansa tarkoitukseen. Et voi yksinkertaisesti kuvata ihmisiä julkisella kadulla omiin tarkoituksiisi."
AZ Direct: 7 miljoonaa tietuetta ilman lähdettä? Samaan aikaan AZ Direct, joka kuuluu suureen saksalaiseen Bertelsmann-konserniin, paljastaa aivan toisenlaisen ongelman: huolimatta lakisääteisestä tiedonantovelvollisuudestaan osoitteiden jälleenmyyjä ei ole paljastanut erityisiä tietolähteitä melkein yhdestäkään 2 400 osallistujasta. AZ Direct on kuitenkin myynyt CRIF:lle yhteensä yli 7 miljoonaa tietuetta. Tällä hetkellä on täysin epäselvää, mistä CRIF:n suurin tietojen toimittaja saa tietonsa - mikä tekee myös mahdottomaksi käyttää GDPR:n mukaisia oikeuksiaan.
Max Schrems: "On täysin naurettavaa, että Bertelsmannin tytäryhtiö, jolla on hallussaan 7 miljoonan itävaltalaisen yksityistietoja, ei tiedä, mistä tiedot ovat peräisin. Tällä hetkellä lähes kaikki itävaltalaiset sisältävä tietokokonaisuus voi olla peräisin mistä tahansa lähteestä - asianomaisilla ei ole mitään mahdollisuutta tarkistaa, ovatko lähteet laillisia."
Tie ryhmäkanteeseen: Yksityiskohtainen arviointi lähes valmis. noyb jatkaa työtä 2 400 osallistujalta saatujen luottotietojen yksityiskohtaisen arvioinnin parissa. Yhdessä talousmatematiikan professorin kanssa yli 28 000 saatua pistettä verrataan asianosaisten todellisiin taloudellisiin tietoihin, jotta saadaan selville, ovatko CRIF-pisteet tilastollisesti luotettavia. Tällä hetkellä kaikki merkit näyttävät viittaavan siihen, että CRIF-pistemäärällä on vain vähän tekemistä yksilön todellisen taloudellisen tilanteen kanssa eikä se anna luotettavaa riskinarviointia ihmisille, jotka maksavat aina laskunsa. Näille 90 prosentille väestöstä pistemäärä perustuu lähinnä vain ikään, sukupuoleen ja osoitteeseen. Lisää tuloksia odotetaan lähiviikkoina. Sen jälkeen noyb päättää, nostetaanko CRIF:ää vastaan laajempi ryhmäkanne, joka koskee todennäköisesti miljoonia ihmisiä. Jos henkilötietoja käsitellään laittomasti, jokaisella henkilöllä, jota asia koskee, voi olla oikeus asianmukaisiin vahingonkorvausvaatimuksiin.
