Une enquête de l'association "none of your business" (noyb) révèle les pratiques de collecte de données de l'organisme de crédit autrichien CRIF, qui s'appuie sur des courtiers en adresses exploitant des registres publics.

L'enquête, menée auprès de plus de 2 400 personnes, a montré que CRIF obtient la plupart de ses données d'adresses via les courtiers AZ Direct (groupe Bertelsmann), Compass-Verlag et DPIT. Ces derniers extraient les informations de registres publics autrichiens, tels que le registre du commerce, le registre foncier, le registre des associations (ZVR) et le registre des métiers (GISA), ainsi que de la Chambre de commerce (WKO). Cette pratique de réutilisation de données à des fins commerciales est présentée comme une violation du principe de limitation des finalités prévu à l'article 5, paragraphe 1, point b) du RGPD. De plus, AZ Direct, principal fournisseur de CRIF avec plus de 7 millions d'enregistrements, n'aurait pas divulgué ses sources de données, empêchant ainsi les personnes concernées d'exercer leurs droits.

L'association noyb finalise une évaluation détaillée de plus de 28 000 scores de crédit, en collaboration avec un professeur de mathématiques financières, pour vérifier leur validité statistique. Les premiers résultats suggèrent que pour 90 % de la population, la notation de CRIF serait peu liée à la situation financière réelle, reposant principalement sur l'âge, le sexe et l'adresse. En fonction des conclusions finales, noyb envisage de lancer une action collective d'envergure contre CRIF, qui pourrait concerner des millions de personnes et ouvrir droit à des dommages et intérêts pour traitement illégal de données.