W następstwie inicjatywy podjętej przez noybponad 2400 poszkodowanych osób zażądało swoich danych od agencji kredytowej CRIF i obecnie je otrzymało. Ocena przeprowadzona przez noyb pokazuje, że wiele znanych austriackich firm, takich jak Erste Bank, Verbund i Drei, ocenia swoich klientów za pomocą danych CRIF. Niektóre firmy, takie jak T-Mobile, internetowy sprzedawca detaliczny Otto i firma ubezpieczeniowa Allianz, również wydają się dostarczać dane swoich klientów do CRIF. Wstępna ocena ponad 40 000 zapytań z ponad 28 000 przekazanych wyników pokazuje również, że mężczyźni są oceniani znacznie gorzej niż kobiety. Ludzie w miastach otrzymują niższy wynik niż ludzie na wsi. noyb przeprowadzi szczegółowe analizy w nadchodzących tygodniach, aby ocenić indywidualną dokładność wyników CRIF.
Źródła danych: Trzech głównych wydawców adresów. Dane adresowe CRIF pochodzą głównie od trzech wydawców adresów: AZ Direct (część Grupy Bertelsmann), Compass Verlag i DPIT w Wiedniu. Zgodnie z § 151 austriackiego kodeksu handlowego i kilkoma orzeczeniami sądowymi, wydawcy adresów mogą sprzedawać te adresy wyłącznie w celach marketingowych. Niemniej jednak trafiają one do CRIF i stanowią podstawę ratingu kredytowego CRIF. Jeśli niezgodny z prawem transfer danych adresowych miałby się zakończyć, CRIF potencjalnie musiałby jutro usunąć dane prawie wszystkich osób mieszkających w Austrii. Aby dowiedzieć się, skąd wyżej wymienieni wydawcy adresów uzyskali dane wszystkich osób w Austrii, noyb wysłał im teraz również wnioski o dostęp w imieniu 2 440 uczestników. Oprócz trzech głównych sprzedawców adresów, telekomunikacja, banki i dostawcy energii pojawiają się również jako źródła danych adresowych na mniejszą skalę. Sami klienci CRIF wydają się nie być w stanie wyjaśnić, w jaki sposób dane trafiają do CRIF, zgodnie z wstępnymi zapytaniami.
Max Schrems: "Nawet w świetle istniejącego orzecznictwa przetwarzanie danych przez CRIF jest zbudowane na piasku. Władze przymknęły oko, pozwalając CRIF na przetwarzanie danych dotyczących 90% populacji, która zawsze płaciła rachunki"
"Weryfikacja danych": Banki i firmy telekomunikacyjne dostarczają informacje do CRIF. Ku zaskoczeniu noyb, firmy takie jak T-Mobile, Drei, bank99, Allianz i Klarna również pojawiają się jako źródła "weryfikacji" adresów i danych. Jest to szczególnie problematyczne, ponieważ na przykład dostawcy usług telekomunikacyjnych i banki są prawnie zobowiązani do identyfikacji klientów za pomocą dowodu tożsamości. Gdy dane te ostatecznie trafiają do CRIF, znacznie wykraczają poza to, co jest prawnie wymagane do identyfikacji posiadaczy kont lub klientów telefonów komórkowych. W bezpośrednich rozmowach firmy te zawsze twierdziły, że nie dostarczają CRIF żadnych danych, a jedynie je pobierają. Możliwe, że to dalsze wykorzystanie danych odbywa się za plecami banków i firm telekomunikacyjnych. noyb skontaktuje się teraz z tymi firmami w celu uzyskania dalszych wyjaśnień. Nadal nie jest jasne, czy firmy te są świadome, że tak się dzieje.
Max Schrems:"Nowością jest to, że na przykład T-Mobile i Drei również dostarczają dane swoich klientów do CRIF w celu weryfikacji tożsamości. Jest to szczególnie trudne, ponieważ musisz zidentyfikować się za pomocą dowodu tożsamości u dostawców usług telefonii komórkowej lub banków. Te zweryfikowane dane trafiają następnie do CRIF. noyb bada teraz, czy może to być w jakikolwiek sposób legalne"
Informacje finansowe: Tylko kilka rekordów windykacyjnych. CRIF posiada dane dotyczące historii płatności dla około 10% osób w Austrii. Są to głównie roszczenia windykacyjne - w tym te, które zostały już dawno spłacone. CRIF przechowuje również spłacone roszczenia przez okres do 7 lat, jeśli ich wartość przekracza 20 euro. Niewypłacalność pojawia się tylko w 15 przypadkach na 2440 badanych - prawdopodobnie dlatego, że zgodnie z orzecznictwem TSUE dane te muszą zostać usunięte po roku.
Max Schrems:"Wygląda na to, że CRIF usuwa teraz niewypłacalności po roku. Jednak opóźnienia w płatnościach niewielkich kwot są przechowywane przez siedem lat. Nie możemy zrozumieć logiki stojącej za tym, dlaczego niewypłacalności są szybko usuwane, ale opóźnienia w płatnościach już nie"
Klarna jest największym klientem CRIF. W oparciu o 40 000 dostępnych rekordów danych, szwedzki dostawca płatności Klarna wydaje się być największym klientem CRIF. Jednak firma ubezpieczeniowa Allianz i luksusowy sklep internetowy Breuninger również znajdują się w czołówce użytkowników, a następnie Erste Bank, kanadyjski dostawca weryfikacji Trulioo, dostawca kart kredytowych card complete, TF Bank i bank99. Wśród dostawców energii, MaxEnergy, Energie AG i Verbund wydają się regularnie oceniać swoich klientów. Jednak wiele wniosków jest trudnych do wyjaśnienia: na przykład firmy zajmujące się nieruchomościami lub kancelarie prawne czasami uzyskiwały dostęp do danych osób, których dane dotyczą, mimo że nie było umowy kredytowej ani zakupu na koncie. Zdarzają się również zapytania "prewencyjne". Na pierwszy rzut oka wydaje się, że niektóre firmy wykorzystują je jako rodzaj "prześwietlenia" - nie mając tak naprawdę ważnego powodu do złożenia zapytania. noyb zada zatem zainteresowanym i klientom CRIF bardziej szczegółowe pytania, aby dowiedzieć się więcej o ich relacjach biznesowych z CRIF.
Max Schrems: "Na pierwszy rzut oka niektóre zapytania niekoniecznie wydają się uzasadnione. Obecnie pytamy naszych ponad 2400 uczestników, czy zauważyli jakiekolwiek niezgodne z prawem zapytania w swoich danych. Może się okazać, że niektórzy klienci CRIF sami naruszyli RODO"
Wyniki: płeć, wiek i adres. 28 000 wyników pokazuje, że kobiety mają tendencję do uzyskiwania wyższych wyników niż mężczyźni (547 vs 522). Widoczne są również wzorce geograficzne. Miasta Wiedeń (523), Graz (519) i Linz (513) mają niższe średnie wyniki niż reszta Austrii (530), chociaż istnieją znaczne różnice w obrębie miast. Wydaje się jednak, że największy wpływ ma wiek: średnio wynik wzrasta o około 2,6 punktu na rok życia.
Max Schrems:"Nawet biorąc pod uwagę ponad 28 000 wyników, nadal wydaje się jasne, że dla większości dotkniętych osób wynik opiera się głównie na danych adresowych. Wiek i płeć wydają się mieć jedynie niewielki wpływ nawyniki"
noyb prosi uczestników o dalsze wskazówki. W celu zebrania dalszych informacji na temat praktyk CRIF i jego firm partnerskich, noyb wzywa wszystkich 2440 uczestników do zgłaszania wszelkich anomalii w swoich wnioskach o dostęp. W tym celu noyb opublikował również szczegółowy opis wszystkich dostępnych pól danych.
Max Schrems: "W większości przypadków osoby, których to dotyczy, mają najlepsze informacje o tym, co mogło zostać udostępnione lub co może być nieprawidłowe. Dlatego wezwaliśmy wszystkich uczestników do sprawdzenia swoich danych i zgłoszenia nam wszelkich niespójności. Z niecierpliwością czekamy, co to ujawni"
Szczegółowa ocena w nadchodzących tygodniach. noyb będzie teraz współpracować z profesorem matematyki finansowej, aby porównać ponad 28 000 wyników z rzeczywistymi danymi finansowymi osób, których to dotyczy, aby dowiedzieć się, czy wyniki CRIF są statystycznie wiarygodne. Obecnie wszystko wskazuje na to, że wynik CRIF ma niewiele lub nic wspólnego z rzeczywistą indywidualną sytuacją finansową. Dalsze wyniki spodziewane są w nadchodzących tygodniach. Następnie Noyb podejmie również decyzję, czy złożyć większy pozew zbiorowy przeciwko CRIF. Jeśli dane osobowe były przetwarzane niezgodnie z prawem, osoby, których to dotyczy, mogą mieć prawo do odpowiednich roszczeń odszkodowawczych.
Aktualizacja w odpowiedzi na oświadczenie CRIF:
Pomimo zarzutów dotyczących "nieprawidłowych" informacji w tym komunikacie prasowym, CRIF potwierdza wszystkie oświadczenia złożone przez noyb:
- Firmy wymienione przez noyb są częścią sieci CRIF
- Dane są dostarczane do CRIF przez brokerów adresowych, a także niektórych klientów CRIF
- CRIF generuje oceny kredytowe, mimo że zgodnie z własnymi oświadczeniami "nie posiada informacji o dochodach i aktywach".
Max Schrems: "Zasadniczo nie ma sporu co do tego, co robi CRIF i jego partnerzy. Komunikat prasowy CRIF nie zawiera żadnej merytorycznej krytyki"
