Action en Autriche contre une agence de renseignement de crédit collectant des données personnelles

L’ONG autrichienne Noyb a lancé mardi une action collective en réparation contre la filiale dans son pays d’une agence internationale de renseignement de crédit appelée CRIF et accusée de collecter illégalement des données personnelles.

« CRIF a compilé illégalement des données sur presque tout le monde en Autriche, attribuant des scores discutables », a déclaré dans un communiqué son président Max Schrems.

CRIF GmbH compile des informations telles que noms, dates de naissance et adresses pour « attribuer un score » de solvabilité, utilisé ensuite par des banques, opérateurs télécoms ou fournisseurs d’énergie, selon Noyb.

« Or ces scores, qui ne permettent pas de tirer des conclusions fiables sur la solvabilité d’une personne, déterminent pourtant souvent si un individu peut obtenir un contrat », a déploré l’association.

550 entreprises ayant consulté des données personnelles auprès de CRIF entre 2018 et 2025 ont pu être identifiées.

L’ONG estime que cette base de données viole le règlement européen sur la protection des données (RGPD), notamment en raison d’un manque de consentement.

Une grande partie des données provient de courtiers en adresses qui ne sont autorisés à les vendre qu’à des fins de marketing et non pour des évaluations de solvabilité, d’après elle.

Contacté par l’AFP, CRIF a toutefois déclaré « traiter des données à caractère personnel exclusivement sur la base de prescriptions légales claires, ainsi que de fondements contractuels ».

L’agence a vu dans l’action entreprise par Noyb une tentative de « remettre fondamentalement en question le modèle économique de l’ensemble du secteur des agences d’évaluation de crédit ».

« Le nouvel instrument d’action collective pour une injonction permet de mettre fin aux violations systémiques de la loi sans avoir à engager des milliers de dossiers individuels, ce qui donne un véritable pouvoir au RGPD », d’après l’avocat de Noyb Christian Wirthensohn.

Une action en réparation a aussi été engagée et les consommateurs concernés pourraient réclamer une indemnisation d’environ 500 euros chacun, estime Noyb.

Mais le collectif anticipe une longue bataille judiciaire, cette procédure étant l’une des premières mises en oeuvre dans le cadre de la directive européenne sur les actions représentatives.

L’association à but non lucratif Noyb s’engage en faveur de l’application effective du droit européen en matière de protection des données. À ce jour, elle a entamé environ 800 procédures contre de nombreuses violations intentionnelles.