信息专员办公室（ICO）因Experian（益百利）非法将数据用于营销目的向其发布了执行通知，但Experian认为，他们的行为是基于合法利益，计划对此进行上诉。

信用参考机构(The credit reference agency，CRA)Experian被ICO要求对其直接营销服务中处理个人数据的方式做出“根本性改变”，原因是对该机构进行了为期两年的调查后，发现该机构存在“隐形”数据处理和隐私信息不足的问题。

报告称，在调查了Experian、Equifax和TransUnion这三家数据经纪商提供的线下营销服务后，发现他们没有考虑CRA的信用参考功能（这里关注的是处理在英国居住的个人的个人数据）。

ICO的伊丽莎白·丹纳姆（Elizabeth Denham）表示：“调查发现了这三家信用评级机构是如何在人们不知情的情况下进行交易，丰富和增强其个人数据的。商业组织、政治党派或慈善机构通过这种加工后的数据来寻找新客户，确定最有可能买得起商品和服务的人，并建立个人档案。”

根据强制性审计，Experian在遵守GDPR方面做了一些改进，但不愿直接向个人发布隐私信息，也不愿意将信用参考数据停止用于直接营销目的。如报告所述，信用评估机构认为，这样做需要“不成比例的努力”，如GDPR第14（5）（b）条所述。

Experian 计划将 ICO 的行动上诉至一级法庭。该公司首席执行官布赖恩·卡辛（Brian Cassin）在一份声明中说：“这个问题的核心关乎对GDPR的解释，我们相信，ICO的观点超出了法律要求的范围。这种解释还有可能损害帮助消费者、成千上万的小型企业和慈善机构的服务，尤其是在他们试图从 Covid-19 危机中恢复过来的时候。”

他补充说：“我们从数据中开发出统计模型，以推断出对企业和公共机构有用的见解，以便它们能更有效地运作。我们不追踪互联网活动，也不会收集实际消费者的购买、行为数据或实际偏好，也没有任何个人位置追踪。”

在Equifax和TransUnion停止供应不合规的产品和服务后，没有采取执法行动。然而，尽管评级机构的规模各不相同，但根据ICO的说法，这三次审计都揭示了“在每个评级机构的数据业务中存在系统性的合规缺陷，特别是在GDPR的合法性、公正性和透明度原则方面。”

执行通知给Experian包括七项必须在9个月内进行更改,包括停止将提供给Experian的数据用于任何营销目的的信用参考(个人要求的除外)，并直接向个人提供符合第 14 条的隐私通知，但Experian从其他来源获得数据有一些有限的例外。

此外，审计表明，在某些情况下，Experian会在征得同意的基础上获得数据，但在处理数据时却基于合法利益。ICO规定：“如第三方收集个人资料，并在征得同意的基础上分享作直接营销用途，则随后处理这些用途的适当合法基础亦是征得同意。”

Experian因此被告知删除基于合法利益处理的、基于同意获得的任何数据。

信息专员伊丽莎白·丹纳姆（Elizabeth Denham）表示：“我们的调查发现了可能影响英国数百万成年人的数据保护失败现象，这将改变信用咨询机构操作其线下直销服务的方式。”（本文出自SCA安全通信联盟，转载请注明出处。）