Onder meer webwinkels en bedrijven kijken of klanten kredietwaardig zijn met scores die gespecialiseerde bedrijven hebben berekend aan de hand van gegevens die ze illegaal hebben verkregen. Dat is op te maken uit een artikel in tijdschrift De Groene Amsterdammer.
Bedrijven als Experian, EDR en Focum berekenen kredietscores van miljoenen Nederlanders aan de hand van gegevens van onder meer incassokantoren. Die incassokantoren moeten echter toestemming vragen om de data door te verkopen aan die bedrijven, schrijft De Groene Amsterdammer. Dat gebeurt momenteel niet.
Daarnaast is de kredietscore ook zelf een persoonsgegeven, en als webwinkels en providers de score opvragen, moeten de bedrijven die de kredietscores berekenen, de klant in kwestie informeren. Ook dat gebeurt niet. De Autoriteit Persoonsgegevens moet daarop toezien, maar dat lijkt momenteel niet te gebeuren. De branche had een gedragscode voor zelfregulering, maar die is verlopen en niet vernieuwd. Daardoor kunnen deze praktijken volgens het tijdschrift doorgaan.
De kredietscores kunnen ertoe leiden dat telecomproviders, webwinkels en andere bedrijven klanten weigeren of meer geld in rekening brengen voor diensten. Soms leidt een niet betaalde rekening voor bijvoorbeeld gas tot een negatieve score, maar soms komt het ook doordat een klant in een buurt woont waarin het bedrijf veel mensen als wanbetaler heeft aangemerkt. De bedrijven claimen meer data te hebben dan kredietregistratiebureau BKR.
Bovendien zijn die bedrijven niet transparant over welke gegevens ze gebruiken voor de berekening van kredietscores. Toen het journalistieke bureau dat het artikel schreef, zich als betalende klant aanmeldde bij Focum, kreeg het meer gegevens dan toen diverse proefpersonen zelf gegevens opvroegen. Focum claimt dat die gegevens er later bij zijn gekomen, maar volgens de proefpersonen is dat niet mogelijk. In de Verenigde Staten is in de afgelopen tijd veel aandacht voor kredietbeoordelaars. Een van de grote partijen in die branche, Equifax, bleek in de afgelopen zomer te zijn gehackt door beveiligingslekken in het systeem.