Corte Suprema Austriaca: CRIF ha raccolto illecitamente dati di milioni di cittadini violando il GDPR

Contesto

A giugno 2026, noyb ha avviato un'azione legale contro le pratiche di raccolta dati di CRIF, un'agenzia di informazioni creditizie austriaca. In diverse cause non correlate, la Corte Suprema (OGH) ha ora dato ragione a noyb. La Corte ha stabilito che l'attuale pratica di CRIF di raccogliere dati da editori di indirizzi viola il principio di "limitazione della finalità" (Articolo 5(1)(b) GDPR).
Questo significa che i dati destinati, ad esempio, alla pubblicità postale ("direct marketing") non possono essere utilizzati per valutazioni creditizie, in quanto sono finalità diverse con implicazioni completamente differenti per gli interessati. noyb aveva già presentato un reclamo all'Autorità per la protezione dei dati (DPA) contro l'editore di indirizzi AZ Direct e contro CRIF a marzo 2021 per fermare il commercio di dati tra le aziende. noyb ha vinto sia davanti alla DPA che alla Corte Amministrativa Federale.
CRIF e AZ Direct hanno rifiutato di conformarsi alle decisioni relative alla restrizione dell'uso dei dati. La Corte Suprema Austriaca ha definitivamente risolto la questione anche in diversi procedimenti civili avviati dall'avvocato viennese Robert Haupt, indipendentemente da noyb, stabilendo che le agenzie di informazioni creditizie non devono raccogliere dati personali da un editore di indirizzi che li elabora per scopi di marketing. Questa serie di sentenze migliora le prospettive di successo per la class action pianificata da noyb, la quale stima risarcimenti di circa 500 euro per persona inclusa illecitamente nel database.

Perché conta

Le aziende che riutilizzano dati personali per scopi diversi da quelli originali, come l'uso di dati di marketing per valutazioni creditizie, rischiano di violare il principio di limitazione della finalità del GDPR e subire condanne legali. La Corte Suprema Austriaca ha confermato che la raccolta illecita di dati da parte di CRIF, un'agenzia di informazioni creditizie, è contraria al Regolamento, spianando la strada a richieste di risarcimento che si stimano in circa 500 euro per persona lesa. Questo evidenzia come una gestione non conforme dei dati abbia conseguenze economiche dirette per le aziende. La tua organizzazione ha processi chiari per definire e tracciare le finalità di ogni trattamento dati?

Cosa fare

• Verificare attentamente che ogni trattamento di dati personali abbia una finalità specifica e legittima.
• Garantire che i dati raccolti per uno scopo non siano riutilizzati per finalità diverse senza una nuova base giuridica valida.
• Rispettare tempestivamente le decisioni e i provvedimenti delle Autorità per la protezione dei dati.
• Rivedere gli accordi con fornitori e partner per assicurare la conformità alla limitazione della finalità nella catena di trattamento.
• Valutare l'impatto di un eventuale cambiamento di finalità prima di procedere al nuovo utilizzo dei dati.

Cosa evitare

• Non riutilizzare dati personali per scopi diversi da quelli per cui sono stati originariamente raccolti, senza una base giuridica.
• Non ignorare o ritardare l'applicazione delle decisioni delle autorità di controllo in materia di protezione dei dati.
• Non fare affidamento su interpretazioni ampie o permissive del principio di limitazione della finalità.

Implicazioni pratiche

Per un'organizzazione, la sentenza sottolinea la stringente applicazione del principio di limitazione della finalità del GDPR, stabilito dall'Articolo 5(1)(b). Questo significa che i dati personali raccolti per uno scopo specifico, ad esempio il marketing, non possono essere semplicemente riutilizzati per un altro scopo, come le valutazioni di solvibilità, senza una nuova base giuridica chiara e trasparente. La violazione di questo principio espone l'organizzazione a sanzioni delle autorità di controllo e a potenziali azioni legali collettive con richieste di risarcimento.

Azioni da fare

• Mappare tutte le finalità di trattamento dei dati personali all'interno dell'organizzazione.
• Implementare controlli per impedire il riutilizzo non autorizzato dei dati per scopi diversi.
• Aggiornare le informative sulla privacy per descrivere chiaramente le finalità di trattamento.
• Formare il personale sulle implicazioni del principio di limitazione della finalità.
• Ottenere un nuovo consenso o identificare un'altra base giuridica prima di modificare la finalità di trattamento dei dati.

Errori da evitare

• Assumere che i dati raccolti per una finalità generica possano essere usati liberamente per qualsiasi altro scopo.
• Trascurare la necessità di una nuova valutazione d'impatto sulla protezione dei dati (DPIA) in caso di cambio di finalità.
• Ignorare le richieste degli interessati riguardo la finalità di trattamento dei loro dati.

Domande di self-assessment

• Per ogni raccolta di dati, abbiamo definito chiaramente lo scopo iniziale?
• Esistono procedure che impediscono l'uso improprio dei dati al di fuori delle finalità stabilite?
• Le nostre informative sulla privacy sono esplicite riguardo le finalità di trattamento e le eventuali modifiche?
• Il personale che gestisce i dati è consapevole del principio di limitazione della finalità e delle sue implicazioni legali?
• Abbiamo un meccanismo per ottenere un nuovo consenso o una nuova base giuridica se vogliamo riutilizzare i dati per una finalità diversa?

Riferimenti

Normativa nazionale: GDPR Articolo 5(1)(b)