A seguito di un'iniziativa di noyb, più di 2.400 persone interessate hanno richiesto i loro dati all'agenzia di credito CRIF e ora li hanno ricevuti. Una valutazione di noyb mostra che molte note aziende austriache, come Erste Bank, Verbund e Drei, valutano i propri clienti utilizzando i dati CRIF. Anche alcune aziende, come T-Mobile, il rivenditore online Otto e la compagnia assicurativa Allianz, sembrano fornire i dati dei loro clienti a CRIF. La valutazione iniziale di oltre 40.000 domande con più di 28.000 punteggi trasmessi mostra anche che gli uomini sono valutati significativamente peggio delle donne. Le persone che vivono in città ricevono un punteggio inferiore rispetto a quelle che vivono in campagna. noyb condurrà nelle prossime settimane analisi dettagliate per valutare l'accuratezza individuale dei punteggi CRIF.
Fonti dei dati: Tre grandi editori di indirizzi. I dati sugli indirizzi di CRIF provengono principalmente da tre editori di indirizzi: AZ Direct (parte del Gruppo Bertelsmann), Compass Verlag e DPIT di Vienna. In base al § 151 del Codice commerciale austriaco e a diverse sentenze, gli editori di indirizzi possono vendere questi indirizzi solo per scopi di marketing. Tuttavia, essi finiscono a CRIF e costituiscono la base per il rating di CRIF. Se il trasferimento illegale dei dati degli indirizzi dovesse terminare, CRIF dovrebbe potenzialmente cancellare i dati di quasi tutti gli abitanti dell'Austria. Per scoprire dove i suddetti editori di indirizzi hanno ottenuto i dati di tutti gli austriaci, noyb ha inviato loro una richiesta di accesso per conto dei 2.440 partecipanti. Oltre ai tre principali commercianti di indirizzi, anche le telecomunicazioni, le banche e i fornitori di energia appaiono come fonti di dati sugli indirizzi su scala minore. In questo caso, gli stessi clienti di CRIF non sembrano in grado di spiegare come i dati finiscano a CRIF, secondo le prime indagini.
Max Schrems: "Anche in base alla giurisprudenza esistente, il trattamento dei dati di CRIF è costruito sulla sabbia. Le autorità hanno chiuso un occhio, permettendo a CRIF di elaborare i dati del 90% della popolazione che ha sempre pagato le bollette"
"Verifica dei dati": Le banche e le telecomunicazioni forniscono informazioni al CRIF. Con sorpresa della noyb, anche aziende come T-Mobile, Drei, bank99, Allianz e Klarna compaiono come fonti per la "verifica" di indirizzi e dati. Questo è particolarmente problematico perché i fornitori di servizi di telecomunicazione e le banche, ad esempio, sono tenuti per legge a identificare i clienti con un documento d'identità. Quando questi dati finiscono al CRIF, vanno ben oltre quanto richiesto dalla legge per l'identificazione dei titolari di conti o dei clienti di telefonia mobile. Nelle discussioni dirette, queste società hanno sempre affermato di non fornire a CRIF alcun dato, ma di limitarsi a recuperarlo. È possibile che questo ulteriore utilizzo dei dati avvenga alle spalle delle banche e delle società di telecomunicazioni. noyb contatterà ora queste società per chiedere ulteriori chiarimenti. Non è ancora chiaro se queste aziende siano consapevoli di quanto sta accadendo.
Max Schrems:"La novità è che anche T-Mobile e Drei, ad esempio, forniscono i dati dei loro clienti al CRIF per la verifica dell'identità. Si tratta di un'operazione particolarmente complicata, perché presso i fornitori di telefonia mobile o le banche è necessario identificarsi con un documento d'identità. Questi dati verificati finiscono poi al CRIF. noyb sta ora indagando se questo possa essere legale in qualche modo"
Informazioni finanziarie: Solo pochi record di recupero crediti. Il CRIF dispone dei dati relativi alla cronologia dei pagamenti di circa il 10% delle persone in Austria. Si tratta per lo più di richieste di recupero crediti, comprese quelle che sono state pagate da tempo. CRIF conserva anche i crediti pagati per un massimo di 7 anni se superano i 20 euro. Le insolvenze compaiono solo in 15 casi su 2.440 soggetti esaminati - presumibilmente perché, secondo la giurisprudenza della CGUE, questi dati devono essere cancellati dopo un anno.
Max Schrems:"Sembra che il CRIF ora cancelli le insolvenze dopo un anno. Tuttavia, i pagamenti in ritardo di piccoli importi vengono conservati per sette anni. Non riusciamo a capire la logica per cui le insolvenze vengono cancellate rapidamente, mentre i pagamenti in ritardo no"
Klarna è il principale cliente di CRIF. Sulla base dei 40.000 record di dati disponibili, il fornitore di pagamenti svedese Klarna sembra essere il principale cliente di CRIF. Tuttavia, anche la compagnia assicurativa Allianz e il negozio online di lusso Breuninger figurano tra i primi utenti, seguiti da Erste Bank, il fornitore canadese di verifiche Trulioo, il fornitore di carte di credito Card Complete, TF Bank e Bank99. Tra i fornitori di energia, MaxEnergy, Energie AG e Verbund sembrano valutare regolarmente i propri clienti. Tuttavia, molte richieste sono difficili da spiegare: ad esempio, società immobiliari o studi legali hanno talvolta avuto accesso ai dati degli interessati anche se non c'era alcun contratto di credito o acquisto in conto. Sembrano esserci anche richieste "preventive". A prima vista, sembra che alcune aziende le utilizzino come una sorta di "controllo di base", senza avere un motivo valido per effettuare una richiesta. noyb porrà quindi agli interessati e ai clienti di CRIF domande più dettagliate per saperne di più sul loro rapporto commerciale con CRIF.
Max Schrems: "A prima vista, alcune domande non sembrano necessariamente giustificate. Stiamo chiedendo ai nostri oltre 2.400 partecipanti se hanno notato query illegali nei loro dati. Potrebbe essere che alcuni clienti di CRIF abbiano essi stessi violato il GDPR"
Punteggi: sesso, età e indirizzo. I 28.000 punteggi mostrano che le donne tendono a ricevere punteggi più alti degli uomini (547 contro 522). Anche i modelli geografici sono evidenti. Le città di Vienna (523), Graz (519) e Linz (513) hanno punteggi medi più bassi rispetto al resto dell'Austria (530), sebbene vi siano differenze significative all'interno delle città. Tuttavia, l'età sembra avere l'influenza maggiore: in media, il punteggio aumenta di circa 2,6 punti per ogni anno di vita.
Max Schrems:"Anche con più di 28.000 punteggi, sembra ancora chiaro che per la maggior parte delle persone interessate il punteggio si basa principalmente sui dati relativi all'indirizzo. L'età e il sesso sembrano avere solo un'influenza minore sui punteggi"
noyb chiede ai partecipanti ulteriori suggerimenti. Al fine di raccogliere ulteriori informazioni sulle pratiche di CRIF e delle sue aziende partner, noyb invita tutti i 2.440 partecipanti a segnalare eventuali anomalie nelle loro richieste di accesso. A tal fine, noyb ha anche pubblicato una descrizione dettagliata di tutti i campi dati disponibili.
Max Schrems: "Nella maggior parte dei casi, gli interessati hanno le informazioni migliori su ciò che potrebbe essere stato consultato o su ciò che potrebbe essere errato. Abbiamo quindi invitato tutti i partecipanti a controllare i propri dati e a segnalarci eventuali incongruenze. Siamo ansiosi di vedere cosa emergerà"
Una valutazione dettagliata nelle prossime settimane. noyb lavorerà ora con un professore di matematica finanziaria per confrontare gli oltre 28.000 punteggi con i dati finanziari effettivi delle persone interessate, per scoprire se i punteggi CRIF sono statisticamente affidabili. Al momento, tutti gli indizi sembrano suggerire che il punteggio CRIF abbia poco o nulla a che fare con la reale situazione finanziaria individuale. Ulteriori risultati sono attesi nelle prossime settimane. Dopodiché, noyb deciderà se avviare un'azione legale collettiva più ampia contro CRIF. Se i dati personali sono stati trattati illegalmente, le persone interessate potrebbero avere diritto a richieste di risarcimento danni.
Aggiornamento in risposta alla dichiarazione di CRIF:
Nonostante le accuse di informazioni "errate" contenute in questo comunicato stampa, CRIF conferma tutte le dichiarazioni fatte da noyb:
- Le aziende citate da noyb fanno parte della rete CRIF
- I dati vengono forniti a CRIF da mediatori di indirizzi e anche da alcuni clienti di CRIF
- CRIF genera punteggi di credito anche se, secondo le sue stesse dichiarazioni, "non ha informazioni su reddito e patrimonio".
Max Schrems: "In sostanza, non c'è alcuna controversia su ciò che CRIF e i suoi partner fanno. Il comunicato stampa di CRIF non contiene critiche sostanziali"
