noyb har vunnit i sitt klagomålsförfarande mot det österrikiska kreditupplysningsföretaget KSV1870 och energileverantören Unsere Wasserkraft. Den österrikiska dataskyddsmyndigheten har funnit att KSV1870:s helautomatiska kreditvärdering - som hindrade den klagande från att ingå ett avtal om energileverans - var olaglig. DSB har också förbjudit KSV1870 att i framtiden utföra sådana kreditkontroller utan den klagandes samtycke. Sist men inte minst tillrättavisade myndigheten också de två företagen för deras brist på transparens. De måste nu också ge en begriplig förklaring till de beslut som de har fattat.
Klagomål mot olaglig kreditbedömning. För ungefär ett år sedan, noyb in ett klagomål mot KSV1870 och energileverantören Unsere Wasserkraft till den österrikiska dataskyddsmyndigheten (DSB). Den klagande, som företräddes av noyb, utsattes för en helautomatisk kreditvärdering av KSV1870 utan att bli tillfrågad. Detta ledde till en - likaledes helt automatiserad - vägran från Unsere Wasserkraft att ingå ett avtal med den registrerade. Allt detta skedde utan att den potentiella kunden informerades. GDPR gör det otvetydigt klart att helt automatiserade beslut med sådana långtgående konsekvenser i allmänhet är förbjudna (med endast ett fåtal undantag).
Business as usual trots tydligt EU-domstolsavgörande. När det gäller automatiserade kreditbedömningar av kreditupplysningsföretag klargjorde EU-domstolen redan 2023 att en sådan praxis är olaglig. I sitt avgörande i ett mål mot det tyska kreditupplysningsföretaget SCHUFA konstaterade domstolen att om företag använder resultatet av en kreditbedömning som en avgörande faktor i sina beslut, anses denna kreditbedömning vara ett förbjudet beslut enligt artikel 22 i GDPR. Endast om särskilda villkor är uppfyllda - t.ex. den registrerades uttryckliga samtycke - skulle ett sådant beslut vara tillåtet.
Martin Baumann, dataskyddsjurist på noyb: "Förhoppningsvis kommer DSB:s slutsatser att bidra till att sätta stopp för olagliga metoder inom kreditvärderingsbranschen. EU-domstolen har redan för flera år sedan klargjort att helautomatiska kreditvärderingar i denna form inte är tillåtna. Detta måste nu äntligen omsättas i praktiken
DSB utfärdar behandlingsförbud. DSB har nu klargjort att KSV1870:s agerande strider mot förbudet mot automatiserat individuellt beslutsfattande och att kreditupplysningsföretaget inte har uppfyllt sina respektive transparensskyldigheter. Det är anmärkningsvärt att DSB inte bara har instruerat KSV att ge en begriplig förklaring till den (olagliga) kreditvärderingen. Myndigheten har också utfärdat ett förbud mot att i framtiden utföra automatiserade kreditkontroller med hjälp av den klagandes uppgifter utan hans samtycke.
Martin Baumann, dataskyddsjurist på noyb: "Vi välkomnar DSB:s kraftfulla agerande i det här fallet. Det visar att företag noggrant bör kontrollera om de automatiserade beslut de fattar är förenliga med den grundläggande rätten till dataskydd
Otransparent agerande av energileverantör. DSB kritiserade också energileverantören Unsere Wasserkrafts tillvägagångssätt. I samband med det helautomatiska avvisandet av den klagande bröt leverantören mot sina transparensskyldigheter. Om Unsere Wasserkraft vill fortsätta att bedöma kreditvärdigheten hos sina potentiella kunder måste företaget anpassa de relevanta processerna så att de överensstämmer med tillämplig dataskyddslagstiftning.
DSB:s beslut är inte slutgiltigt; noyb förväntar sig att de personuppgiftsansvariga kommer att överklaga det.
