noyb har lämnat in en stämningsansökan mot kreditupplysningsföretaget CRIF GmbH och adresshandlaren AZ Direct. Företagen handlar i hemlighet med adressuppgifterna för nästan alla vuxna i Österrike. På så sätt får CRIF information som egentligen samlades in för reklamändamål - för att beräkna kreditbetyg. Som den österrikiska dataskyddsmyndigheten bekräftade i två beslutbryter detta mot GDPR. noyb stämmer nu CRIF för bland annat förbudsföreläggande och skadestånd.
Brott mot dataskyddet som affärsmodell. Adresshandlaren AZ Direct (som ingår i Bertelsmannkoncernen) lämnar regelbundet ut personuppgifter som namn, adress, födelsedatum och kön för österrikare till kreditupplysningsföretaget CRIF. Detta är olagligt, eftersom adressutgivare endast får dela med sig av dessa uppgifter i reklamsyfte. I själva verket använder CRIF dock uppgifterna för att beräkna människors (förmodade) kreditvärdighet. Detta kan få långtgående konsekvenser, t.ex. att kontrakt förkastas eller att villkoren för att bevilja lån försämras.
Den olagliga datahandeln fortsatte helt enkelt. Den österrikiska dataskyddsmyndigheten (DSB) har i två beslut (efter ett klagomål från Noyb ) bekräftat att denna praxis är olaglig: den hemliga datahandeln är inte förenlig med dataskyddsprincipen om ändamålsbegränsning och sker utan en lämplig rättslig grund i enlighet med GDPR. Trots denna tydliga ståndpunkt har myndigheten ännu inte vidtagit några åtgärder för att stoppa den olagliga databehandlingen. noyb har därför lämnat in en stämningsansökan till Wiens regionala domstol för civilrättsliga frågor på uppdrag av sju berörda personer.
Max Schrems, ordförande i noyb: "AZ Direct och CRIF fortsätter att olagligt dra nytta av uppgifterna om miljontals människor i Österrike - och dataskyddsmyndigheten har hittills inte gjort något för att sätta ett permanent stopp för denna olagliga datahandel. Vi ser därför ingen annan utväg än att vända oss till civilrätten."
Krav på förbudsföreläggande, skadestånd och återställande av berikning. Syftet med stämningen är att få till stånd ett förbudsföreläggande. CRIF och AZ Direct ska förbjudas att fortsätta med den olagliga databehandlingen. Dessutom kräver noyb ideellt skadestånd till de registrerade vars uppgifter har behandlats i hemlighet och olagligt under flera år. Sist men inte minst har de två företagen berikat sig själva på ett olagligt sätt genom databehandlingen. CRIF och AZ Direct måste därför förklara hur mycket pengar de har tjänat per registrerad och sedan lämna över dessa pengar.
Max Schrems: "CRIF och AZ Direct handlar med miljontals dataposter bakom ryggen på de registrerade utan att inhämta nödvändigt samtycke. Vi är övertygade om att en lämplig kompensation kommer att behöva beviljas här."
Bara det första steget. Stämningen med sju drabbade personer är bara början. CRIF har uppgifter om miljontals människor i Österrike, varav de flesta härrör från adressutgivare som AZ Direct. I de flesta fall vet de berörda personerna ingenting om detta, eftersom varken AZ Direct eller CRIF uppfyller sina skyldigheter att tillhandahålla information enligt dataskyddslagstiftningen.
Max Schrems: "Från förfarandet vid tillsynsmyndigheten vet vi att AZ Direct har delat med sig av uppgifter om mer än 7 miljoner människor i Österrike till CRIF. Alla dessa personer har möjlighet att vidta rättsliga åtgärder mot den olagliga behandlingen. Vi undersöker för närvarande möjligheterna att göra sådana anspråk gällande i en grupptalan."
Utöva dina rättigheter! Du kan också ta reda på om CRIF på ett otillbörligt sätt har samlat in dina uppgifter från en adressutgivare som AZ Direct. För att göra det, skicka en begäran om information i enlighet med artikel 15 i GDPR till CRIF(auskunft@crif.com) och fråga särskilt om ursprunget till de behandlade uppgifterna. Observera: CRIF undanhåller systematiskt vissa konsumentuppgifter; det kan vara nödvändigt att följa upp detta. Mer information finns här. CRIF är skyldigt att ge dig all information senast inom en månad.
