CRIF : la Cour suprême autrichienne confirme la collecte illégale de données, la voie est libre pour un recours collectif
Trois mois après avoir lancé son action contre l'agence autrichienne de notation de crédit CRIF, l'ONG noyb obtient une victoire décisive devant la plus haute juridiction du pays. La Cour suprême autrichienne (OGH) vient de trancher : la pratique de CRIF consistant à collecter des données auprès d'éditeurs d'annuaires d'adresses pour évaluer la solvabilité des personnes viole le principe de limitation de la finalité du RGPD. Une confirmation judiciaire obtenue avant même la première audience sur le fond, qui renforce considérablement les chances de succès du recours collectif ouvert aux personnes concernées.
Ce qui s'est passé
Dans trois procédures civiles distinctes tranchées le 12 août 2026, l'OGH a validé un point central de l'argumentation développée par noyb depuis des années : les agences de notation de crédit ne peuvent pas collecter de données personnelles auprès d'un éditeur d'annuaires d'adresses qui traite ces mêmes données à des fins de marketing. Fait notable, ces décisions ont été obtenues dans le cadre de procédures menées indépendamment par l'avocat viennois Robert Haupt, ce qui confirme la solidité juridique de la position de noyb sur ce point précis.
Le dossier CRIF remonte à mars 2021, lorsque noyb avait déposé une plainte auprès de l'autorité autrichienne de protection des données contre l'éditeur d'adresses AZ Direct et contre CRIF. noyb avait déjà obtenu gain de cause devant l'autorité puis devant la Cour administrative fédérale, mais CRIF avait refusé de se conformer aux décisions restreignant l'usage de ces données. Faute de mise en conformité volontaire, noyb a fini par intenter une action en injonction contre CRIF en juin 2026, ouvrant la voie à un recours collectif pour toute personne ayant été notée sans base légale valable.
Pourquoi c'est important
Cette affaire illustre un des principes fondamentaux de l'article 5 du RGPD que les entreprises sous-estiment le plus : la limitation de la finalité. Une donnée collectée pour un objectif donné — ici, du marketing direct via un annuaire d'adresses — ne peut pas être librement réutilisée pour une finalité totalement différente, comme l'évaluation de la solvabilité d'un individu. Les deux usages n'ont ni la même nature ni les mêmes conséquences pour la personne concernée, et le RGPD interdit ce glissement sans base légale distincte.
CRIF invoquait l'intérêt légitime pour justifier sa pratique. Or l'une des leçons de cette décision est que l'intérêt légitime prévu à l'article 6 du RGPD ne permet pas de contourner le principe de limitation de la finalité : même si une base légale existe pour la collecte initiale, elle ne couvre pas automatiquement un usage secondaire incompatible. C'est exactement le terrain sur lequel la CNIL s'est positionnée en France avec sa recommandation sur les données personnelles utilisées pour l'octroi de crédit, qui impose déjà aux établissements financiers de documenter précisément l'origine et la compatibilité des données mobilisées dans leurs modèles de scoring.
Ce que ça change pour les organisations
Pour toute organisation qui achète, loue ou réutilise des données détenues par un tiers — data broker, courtier en adresses, partenaire commercial — cette décision doit déclencher une vérification concrète : la finalité pour laquelle la donnée a été collectée à l'origine est-elle compatible avec l'usage qui en est fait aujourd'hui ? Un « intérêt légitime » invoqué sans test de mise en balance documenté, ou sans analyse de compatibilité au sens de l'article 6 §4 du RGPD, ne résistera pas à un contentieux de ce type.
Les DPO qui s'appuient sur des scores ou des profils achetés à des tiers ont intérêt à exiger de leurs fournisseurs la traçabilité complète de la provenance des données, plutôt que de présumer que le prestataire a sécurisé la base légale. C'est également un signal pour les acteurs du crédit, de l'assurance et du recouvrement, où le scoring externalisé reste une pratique courante mais rarement auditée jusqu'à la source des données.
Ce que Leto pense de cette décision
Ce dossier montre qu'un principe souvent traité comme secondaire face au consentement ou à la base légale — la limitation de la finalité — peut à lui seul faire tomber tout un modèle économique. En confirmant la violation avant même l'audience sur le fond, l'OGH envoie un signal clair aux data brokers et à leurs clients : le détournement de finalité n'est pas une zone grise, c'est une infraction caractérisée. Avec une indemnisation estimée à environ 500 € par personne illégalement fichée si le recours collectif aboutit, et des millions de personnes potentiellement concernées, l'addition pourrait être lourde pour CRIF. Les organisations qui achètent des données de tiers sans auditer leur finalité d'origine ont tout intérêt à s'en inspirer avant qu'un contentieux similaire n'émerge en France.
