Meerderheid van kredietbureau "CRIF" database illegaal

Major Win: Het grootste deel van kredietbureau "CRIF" database illegaal volgens gegevensbeschermingsautoriteit. Gegevens van miljoenen Oostenrijkers moeten worden gewist

Het vaak bekritiseerde kredietinformatiebureau CRIF GmbH heeft zonder toestemming of andere rechtsgrondslag adressen, geboortedata en namen van bijna alle Oostenrijkers verzameld om "kredietwaardigheidswaarden" te berekenen. De Oostenrijkse gegevensbeschermingsautoriteit (DPA) heeft nu in een proefproces geoordeeld dat deze gegevens illegaal zijn verwerkt. Miljoenen gegevensrecords moeten worden gewist.

• Besluit van de gegevensbeschermingsautoriteit (Duits)
• Automatisch vertaald besluit (Engels)
• Link naar de testcase van noyb

Uitgever van adressen geeft onrechtmatig persoonsgegevens door aan kredietinformatiebureau. De meeste kerngegevens (naam, adres, geboortedatum, geslacht) die CRIF gebruikt om twijfelachtige "kredietwaardigheidswaarden" te berekenen, zijn afkomstig van de adresuitgeverij AZ Direkt (die tot de Duitse Bertelsmann-groep behoort). AZ Direct mag deze gegevens alleen doorgeven voor marketingdoeleinden - niet voor kredietwaardigheidsberekeningen. Toch kwamen de gegevens van miljoenen Oostenrijkers (bijna de gehele inwonende bevolking) onrechtmatig bij CRIF GmbH terecht voor kredietbeoordelingsdoeleinden. noyb heeft over deze problematische aanpak een proefproces aangespannen en inmiddels gewonnen.

"De GDPR voorziet dat gegevens alleen voor specifieke doeleinden mogen worden gebruikt. Je kunt niet zomaar marketinggegevens verkopen aan een kredietinformatiebureau. Het DSB heeft ons nu gelijk gegeven. Miljoenen mensen in Oostenrijk worden hierdoor getroffen." - Max Schrems, voorzitter van noyb.

Miljoenen mensen zonder betalingsproblemen geregistreerd en "gescoord". Met behulp van AZ Direct beschikt CRIF over de gegevens van miljoenen Oostenrijkers, kent iedereen een "kredietscore" toe en verkoopt die informatie aan om het even welk bedrijf. Veel aanbieders van mobiele telefonie, online winkels en banken gebruiken deze gegevens om meer te weten te komen over hun klanten.

"De CRIF-database biedt op aanvraag adressen en geboortedata van bijna elke Oostenrijker. Voor weinig geld wordt ook een twijfelachtige 'kredietscore' berekend. Klanten krijgen geen gsm- of elektriciteitscontract als hun score te laag is. Als de bank deze score gebruikt, moet men misschien hogere leningstermijnen betalen. Wij vinden dat er alleen gegevens mogen worden verzameld van mensen die duidelijk in gebreke blijven - niet van de hele bevolking." - Max Schrems, voorzitter van noyb

Ban & Appeal verwacht. Deze uitspraak gaat over een individuele betrokkene en stelt alleen dat de gegevensverwerking niet rechtmatig was. De verwerking was echter niet verboden door de Oostenrijkse gegevensbeschermingsautoriteit - de autoriteit verwijst naar een algemeen officieel verbod, dat nog in behandeling is. noyb verwacht dat CRIF in beroep zal gaan tegen deze beslissing, aangezien het een grote klap is tegen hun bedrijfsmodel. Een succesvol beroep is echter onwaarschijnlijk.

Getroffenen kunnen bewijsmateriaal verzamelen en informatie over hun eigen gegevens opvragen bij CRIF. In de toekomst moeten wellicht ook schadevergoedingen worden betaald. Dit hangt af van de uitspraak van het Hof van Justitie in een andere zaak, waarover binnenkort wordt beslist.

"Wij raden aan om een gratis kopie van iemands gegevens bij CRIF op te vragen voor bewijsdoeleinden. Binnenkort kan duidelijk worden of men ook een schadevergoeding krijgt voor de onrechtmatige gegevensverwerking. Hier wachten we echter nog op andere uitspraken." - Max Schrems, voorzitter van noyb.

CRIF zwaar onder druk. noyb heeft momenteel verschillende zaken lopen tegen CRIF: voor de intrasparante en foutgevoelige berekening van de kredietwaardigheidsscores, voor het ontbreken van een rechtsgrondslag voor de opslag van de gegevens van miljoenen mensen in Oostenrijk, en onrechtmatige gegevensbronnen. Op dit punt herhaalt de geschiedenis zich: f CRIF was in de jaren 2000 (toen nog onder de naam "Deltavista") al betrokken bij een schandaal over illegale gegevensoverdracht van justitie.