Na een initiatief van noybhebben meer dan 2400 getroffen personen hun gegevens opgevraagd bij het kredietagentschap CRIF en deze inmiddels ontvangen. Een evaluatie door noyb blijkt dat veel bekende Oostenrijkse bedrijven, zoals Erste Bank, Verbund en Drei, hun klanten evalueren met behulp van CRIF-gegevens. Sommige bedrijven, zoals T-Mobile, de online retailer Otto en de verzekeringsmaatschappij Allianz, blijken hun klantgegevens ook aan CRIF te verstrekken. Uit de eerste evaluatie van meer dan 40.000 zoekopdrachten met meer dan 28.000 doorgegeven scores blijkt ook dat mannen significant slechter worden beoordeeld dan vrouwen. Mensen in steden krijgen een lagere score dan mensen op het platteland. noyb zal de komende weken gedetailleerde analyses uitvoeren om de individuele nauwkeurigheid van de CRIF-scores te evalueren.
Gegevensbronnen: Drie grote uitgevers van adressen. De adresgegevens van CRIF zijn voornamelijk afkomstig van drie adresuitgevers: AZ Direct (onderdeel van de Bertelsmann Group), Compass Verlag en DPIT in Wenen. Volgens § 151 van het Oostenrijkse Wetboek van Koophandel en verschillende gerechtelijke uitspraken mogen uitgevers deze adressen alleen verkopen voor marketingdoeleinden. Toch komen ze bij CRIF terecht en vormen ze de basis voor de kredietrating van CRIF. Als er een einde zou komen aan de onrechtmatige doorgifte van adresgegevens, zou CRIF morgen mogelijk de gegevens van bijna iedereen die in Oostenrijk woont moeten wissen. Om erachter te komen waar de bovengenoemde adresuitgevers de gegevens van iedereen in Oostenrijk vandaan hebben gehaald, heeft noyb hen nu ook namens de 2.440 deelnemers toegangsverzoeken gestuurd. Naast de drie grote adressenhandelaren blijken ook telecombedrijven, banken en energieleveranciers op kleinere schaal bronnen van adresgegevens te zijn. Hier lijken CRIF-klanten zelf niet te kunnen verklaren hoe de gegevens bij CRIF terechtkomen, zo blijkt uit eerste navraag.
Max Schrems: "Zelfs volgens de bestaande jurisprudentie is de gegevensverwerking van CRIF op zand gebouwd. De autoriteiten hebben een oogje dichtgeknepen, waardoor CRIF gegevens kan verwerken over de 90% van de bevolking die altijd zijn rekeningen heeft betaald."
"Verificatie van gegevens": Banken en telecombedrijven leveren informatie aan CRIF. Tot verbazing van noyb verschijnen bedrijven als T-Mobile, Drei, bank99, Allianz en Klarna ook als bronnen voor de "verificatie" van adressen en gegevens. Dit is vooral problematisch omdat telecomproviders en banken bijvoorbeeld wettelijk verplicht zijn om klanten met een ID te identificeren. Als deze gegevens uiteindelijk bij CRIF terechtkomen, gaan ze veel verder dan wat wettelijk verplicht is voor de identificatie van rekeninghouders of klanten van mobiele telefoons. In directe gesprekken hebben deze bedrijven altijd beweerd dat ze CRIF geen gegevens verstrekken, maar deze alleen ophalen. Het is mogelijk dat dit verdere gebruik van gegevens achter de rug van banken en telecombedrijven om gebeurt. noyb zal nu contact opnemen met deze bedrijven om meer opheldering te krijgen. Het is nog onduidelijk of deze bedrijven op de hoogte zijn dat dit gebeurt.
Max Schrems:"Nieuw is dat bijvoorbeeld T-Mobile en Drei hun klantgegevens ook aan CRIF leveren voor identiteitsverificatie. Dit is vooral lastig omdat je je bij mobiele telefoonproviders of banken moet identificeren met een ID. Deze geverifieerde gegevens komen vervolgens bij CRIF terecht. noyb onderzoekt nu of dit op enigerlei wijze legaal kan zijn."
Financiële informatie: Slechts enkele incassodossiers. CRIF heeft betalingsgeschiedenisgegevens voor ongeveer 10% van de mensen in Oostenrijk. Dit zijn voornamelijk incassovorderingen - inclusief vorderingen die al lang betaald zijn. CRIF bewaart ook betaalde vorderingen tot 7 jaar als ze meer dan €20 bedragen. Insolventies komen in slechts 15 van de 2.440 testpersonen voor - waarschijnlijk omdat deze gegevens volgens de jurisprudentie van het HvJEU nu na een jaar moeten worden gewist.
Max Schrems:"Het lijkt erop dat CRIF insolventies nu na een jaar verwijdert. Betalingsachterstanden van kleine bedragen worden echter zeven jaar bewaard. We begrijpen de logica niet waarom insolventies snel worden verwijderd, maar betalingsachterstanden niet."
Klarna is de grootste klant van CRIF. Op basis van de 40.000 beschikbare datarecords lijkt de Zweedse betalingsprovider Klarna de grootste klant van CRIF te zijn. Verzekeringsmaatschappij Allianz en de luxe online winkel Breuninger behoren echter ook tot de top gebruikers, gevolgd door Erste Bank, de Canadese verificatieprovider Trulioo, creditcardprovider Card Compleet, TF Bank en bank99. Van de energieleveranciers lijken MaxEnergy, Energie AG en Verbund hun klanten regelmatig te controleren. Veel verzoeken zijn echter moeilijk te verklaren: zo hebben vastgoedbedrijven of advocatenkantoren soms toegang gekregen tot de gegevens van betrokkenen, ook al was er geen kredietovereenkomst of aankoop op rekening. Er lijken ook "preventieve" verzoeken te zijn. Op het eerste gezicht lijkt het erop dat sommige bedrijven deze gebruiken als een soort 'antecedentenonderzoek' - zonder echt een geldige reden te hebben om een zoekopdracht uit te voeren. noyb zal de betrokkenen en de klanten van CRIF daarom meer gedetailleerde vragen stellen om meer te weten te komen over hun zakelijke relatie met CRIF.
Max Schrems: "Op het eerste gezicht lijken sommige vragen niet noodzakelijk gerechtvaardigd. We vragen onze meer dan 2.400 deelnemers nu of ze onrechtmatige vragen hebben opgemerkt in hun gegevens. Het zou kunnen dat sommige CRIF-klanten zelf de GDPR hebben overtreden."
Scores: geslacht, leeftijd en adres. De 28.000 scores laten zien dat vrouwen meestal hogere scores krijgen dan mannen (547 vs 522). Er zijn ook geografische patronen zichtbaar. De steden Wenen (523), Graz (519) en Linz (513) hebben gemiddeld lagere scores dan de rest van Oostenrijk (530), hoewel er binnen de steden aanzienlijke verschillen zijn. Leeftijd lijkt echter de grootste invloed te hebben: gemiddeld stijgt de score met ongeveer 2,6 punten per levensjaar.
Max Schrems:"Zelfs met meer dan 28.000 scores lijkt het nog steeds duidelijk dat voor de meeste betrokkenen de score voornamelijk gebaseerd is op adresgegevens. Leeftijd en geslacht lijken slechts een kleine invloed te hebben op de scores."
noyb vraagt deelnemers om verdere tips. Om meer informatie te verzamelen over de praktijken van CRIF en haar partnerbedrijven, roept noyb alle 2.440 deelnemers op om eventuele anomalieën in hun toegangsverzoeken te melden. Hiertoe heeft noyb ook een gedetailleerde beschrijving van alle beschikbare datavelden gepubliceerd.
Max Schrems: "In de meeste gevallen hebben de betrokkenen de beste informatie over wat er mogelijk is opgevraagd of wat niet klopt. We hebben daarom alle deelnemers opgeroepen om hun gegevens te controleren en eventuele inconsistenties aan ons te melden. We zijn benieuwd wat hieruit naar voren komt
Noyb gaat nu samenwerken met een hoogleraar financiële wiskunde om de meer dan 28.000 scores te vergelijken met de werkelijke financiële gegevens van de betrokkenen om uit te zoeken of de CRIF-scores statistisch betrouwbaar zijn. Op dit moment lijkt alles erop te wijzen dat de CRIF-score weinig of niets te maken heeft met de werkelijke individuele financiële situatie. Verdere resultaten worden in de komende weken verwacht. Daarna zal noyb ook beslissen of er een grotere class action rechtszaak tegen CRIF wordt aangespannen. Als persoonlijke gegevens onrechtmatig zijn verwerkt, zouden de betrokkenen wel eens recht kunnen hebben op relevante schadeclaims.
Update in reactie op CRIF-verklaring:
Ondanks beweringen van 'onjuiste' informatie in dit persbericht, bevestigt CRIF alle beweringen van noyb:
- De door noyb genoemde bedrijven maken deel uit van het CRIF-netwerk
- Gegevens worden aan CRIF verstrekt door adresmakelaars en ook door sommige klanten van CRIF
- CRIF genereert kredietscores ook al heeft het volgens eigen zeggen "geen informatie over inkomen en vermogen".
Max Schrems: "In wezen is er geen discussie over wat CRIF en haar partners doen. Het persbericht van CRIF bevat geen inhoudelijke kritiek
