Dane do reklamy nie do oceny kredytowej. Austriacki sąd najwyższy przeciw CRIF
Kupno bazy danych wydaje się prostą transakcją: płacisz, dostajesz rekordy, korzystasz. Wyroki austriackiego Sądu Najwyższego (OGH) w sprawach dotyczących biura informacji kredytowej CRIF pokazują, że to nie takie proste. Liczy się nie tylko to, czy dane zostały kupione legalnie, ale też to, w jakim celu je pierwotnie zebrano.
O co chodzi w sprawie
CRIF to biuro informacji kredytowej działające w Austrii. Przez lata pozyskiwało dane milionów osób od wydawców adresów, czyli firm, które gromadzą dane do celów marketingowych, na przykład do wysyłki reklam pocztą. Następnie wykorzystywało je do oceny wiarygodności kredytowej.
Spór trwa od lat. W marcu 2021 roku organizacja noyb złożyła skargę do austriackiego organu ochrony danych na wydawcę adresów AZ Direct i na CRIF. Noyb wygrał zarówno przed organem, jak i przed Federalnym Sądem Administracyjnym. Według noyb obie firmy nie zastosowały się jednak do decyzji ograniczających wykorzystanie danych. W czerwcu 2026 roku noyb wystąpił z powództwem o zaniechanie nielegalnego zbierania danych przez CRIF, w interesie zbiorowym konsumentów.
Co orzekł Sąd Najwyższy
Zanim w sprawie noyb odbyła się pierwsza rozprawa, Sąd Najwyższy rozstrzygnął kilka innych, niezależnych spraw cywilnych. Prowadził je wiedeński adwokat Robert Haupt. Wniosek jest jednoznaczny: biura informacji kredytowej nie mogą pozyskiwać danych osobowych od wydawcy adresów, który przetwarza je w celach marketingowych.
Podstawą jest zasada ograniczenia celu z art. 5 ust. 1 lit. b RODO. Mówi ona, że dane zebrane w jednym celu nie mogą być swobodnie wykorzystywane do innych, niezgodnych z nim celów. Marketing i ocena kredytowa to zupełnie różne cele, z innymi konsekwencjami dla ludzi, których dane dotyczą. Reklama w skrzynce pocztowej to drobna niedogodność. Zła ocena kredytowa może oznaczać odmowę kredytu, umowy na telefon czy zakupu na raty.
Jak podkreśla Robert Haupt, jest już ostatecznie przesądzone, że dane od wydawców adresów nie mogą być używane do oceny kredytowej.
Legalnie kupione dane nie są danymi do wszystkiego. Cel, w jakim je zebrano, idzie razem z nimi. Jeśli chcesz użyć ich w innym celu, musisz sprawdzić, czy ten nowy cel da się pogodzić z pierwotnym.
Pozew zbiorowy i 500 euro na osobę
Wyroki Sądu Najwyższego potwierdziły kluczowy zarzut noyb jeszcze przed pierwszą rozprawą w jego sprawie. To znacząco poprawia szanse planowanego pozwu zbiorowego przeciwko CRIF. Osoby, których to dotyczy, mogą się do niego zgłaszać. Noyb szacuje, że w razie wygranej odszkodowanie może wynieść około 500 euro na osobę, która została bezprawnie umieszczona w bazie lub oceniona.
Przy skali sięgającej milionów osób łatwo policzyć, że stawka dla firmy jest ogromna. I nie chodzi o karę nałożoną przez urząd, tylko o roszczenia samych poszkodowanych.
Warto zwrócić uwagę na jeszcze jedną rzecz. Marco Blocher, prawnik noyb, zauważa, że firmy adresowe sprzedawały dane milionów osób biurom kredytowym przez lata, nie ponosząc żadnych konsekwencji. To, że jakaś praktyka jest powszechna i długo nikt jej nie kwestionował, nie oznacza, że jest legalna. W tej sprawie sąd uznał, że handel takimi danymi był niezgodny z prawem od początku.
Dlaczego to ważne także w Polsce
Wyrok zapadł w Austrii, ale zasada ograniczenia celu wynika z RODO i obowiązuje w całej Unii. Sprawa CRIF to skrajny przykład problemu, który w mniejszej skali dotyczy wielu firm:
- Kupowanie baz mailingowych. Dane zebrane przez kogoś innego mogły zostać zebrane w zupełnie innym celu, niż ten, do którego chcesz ich użyć.
- Łączenie danych z różnych źródeł. Lista uczestników webinaru, klienci sklepu i kontakty z formularza to trzy różne cele. Ich swobodne łączenie w jeden profil może wykraczać poza to, na co ludzie się zgodzili.
- Dane z analityki i pikseli. Informacje zebrane w celach statystycznych nie powinny po cichu trafiać do profilowania reklamowego. Zgoda na analitykę to nie zgoda na marketing.
- Dane z obsługi klienta. Numer telefonu podany do kontaktu w sprawie zamówienia to nie numer do telefonicznej sprzedaży.
Jak sprawdzić, czy Twoja firma nie powtarza błędu CRIF
- Spisz źródła danych. Dla każdej bazy zapisz, skąd pochodzi i w jakim celu ją zebrano.
- Porównaj cel pierwotny z obecnym. Jeśli używasz danych do czegoś innego niż pierwotnie, zastanów się, czy to nadal mieści się w oczekiwaniach osób, których dotyczą.
- Przy zakupie baz żądaj dokumentów. Sprawdź, na jakiej podstawie sprzedawca zebrał dane i czy obejmuje ona Twój cel. Brak odpowiedzi to sygnał ostrzegawczy.
- Rozdziel zgody na cookies. Analityka i marketing powinny być osobnymi kategoriami w banerze, a narzędzia powinny uruchamiać się tylko w ramach tej kategorii, którą odwiedzający zaakceptował.
- Zaktualizuj politykę prywatności. Cele przetwarzania opisane w polityce powinny odpowiadać temu, co faktycznie robisz z danymi.
Wniosek dla marketerów
Sprawa CRIF pokazuje, że naruszenie zasady celu może kosztować nie tylko karę, ale też falę roszczeń od zwykłych ludzi, wspieranych przez organizacje takie jak noyb. Dlatego porządek warto zacząć od rzeczy, które masz pod kontrolą. Jeśli Twoja strona zbiera dane przez cookies, upewnij się, że baner rozdziela cele, a narzędzia czekają na zgodę. Możesz to szybko zweryfikować w Skanerze zgody.
Źródło: noyb
RODOograniczenie celunoybpozew zbiorowybazy danych