A mediados de julio, unas investigaciones realizadas por la NDR y el SZ revelaron que la agencia de información crediticia SCHUFA almacena millones de registros de datos que deberían haberse eliminado hace mucho tiempo. Desde entonces, ha quedado claro que SCHUFA también utiliza estos datos con «fines de prueba» para sus clientes. En principio, podrían verse afectadas las 69 millones de personas sobre las que SCHUFA conserva datos. Y SCHUFA sigue mostrándose evasiva: incluso en respuesta a las solicitudes de acceso en virtud del artículo 15 del RGPD, la empresa se niega a revelar estos datos históricos. Dadas las evidentes infracciones del RGPD, noyb ha emitido ahora una advertencia formal a la agencia de información crediticia y ha anunciado una demanda de cesación. Los interesados cuyos datos históricos hayan sido retenidos por SCHUFA también pueden manifestar su interés en una futura demanda colectiva por daños y perjuicios.
- Investigaciones de la NDR y el SZ: «La «base de datos en la sombra» de Schufa»
- Respuesta de SCHUFA: «La verdad sobre la supuesta «base de datos en la sombra»»
- Respuesta del abogado de SCHUFA Tim Wybitul en LinkedIn
- Petición de Algorithm Watch: «Escándalo de SCHUFA: ¡Eliminad la base de datos oculta de inmediato!»
SCHUFA y su promesa de transparencia. EnAlemania, es prácticamente imposible eludir a SCHUFA. Cualquiera que quiera un préstamo, un contrato de telefonía móvil o alquilar un piso debe confiar en que esta poderosa agencia de información crediticia confirme que tiene una solvencia suficiente. Sin embargo, la forma en que SCHUFA calcula sus puntuaciones crediticias siempre ha sido una caja negra y, como consecuencia, ha sido objeto de críticas y procedimientos judiciales de forma habitual, llegando incluso hasta el Tribunal de Justicia de la Unión Europea. Recientemente, SCHUFA lanzó una «campaña de transparencia» y, desde entonces, se ha estado felicitando a sí misma por haber creado «total transparencia».
Un sótano lleno de datos «eliminados». Según la política de privacidad de SCHUFA, el plazo de conservación de los datos utilizados para calcular la puntuación crediticia también debe determinarse mediante códigos de conducta autoimpuestos. Las reclamaciones de cobro de deudas o los datos sobre préstamos liquidados, por ejemplo, se eliminarían tres años después del pago. Sin embargo, al parecer, «eliminado» significa algo muy diferente para SCHUFA que lo que significa en el marco del RGPD —y para el público en general—: al parecer, los datos solo están «ocultos» y, por lo tanto, desaparecen de la vista de los consumidores, pero no de los sistemas de SCHUFA. Más bien al contrario: los datos siguen tratándose entre bastidores e incluso se utilizan para las «validaciones de la puntuación crediticia» de terceros.
Martin Baumann, abogado especializado en protección de datos de noyb, afirma: «La “base de datos en la sombra” de SCHUFA es un ejemplo clásico de tratamiento ilícito de datos. SCHUFA trata en secreto datos que, según sus propias declaraciones, deberían haberse eliminado hace mucho tiempo, y, en última instancia, obtiene beneficios económicos de ello».
Derecho de acceso rotundamente denegado. SCHUFA se muestra totalmente incoherente en lo que respecta al derecho de acceso: por un lado, SCHUFA afirma que la «base de datos en la sombra», hasta ahora desconocida, es totalmente transparente. Por otro lado, admite que los interesados no reciben una copia de los datos históricos que aún se conservan cuando presentan una solicitud de acceso en virtud del artículo 15 del RGPD. En esencia, SCHUFA sostiene que a los interesados solo están interesados en saber qué datos se tienen en cuenta actualmente en su puntuación. Por lo tanto, no es necesario revelar los datos almacenados de forma secreta. Desde el punto de vista jurídico, se trata de un razonamiento completamente absurdo. Una empresa no puede limitar simplemente su obligación de facilitar información a aquellos datos que ella misma considere «de interés» para los interesados. El Tribunal de Justicia de la Unión Europea lo ha dejado claro desde hace tiempo: una copia de los datos debe ser una reproducción completa y fiel de todos los datos tratados.
Marco Blocher, abogado especializado en protección de datos de noyb, afirma: «Es claramente ilegal que SCHUFA almacene datos que supuestamente han sido “eliminados” en una “base de datos en la sombra”, pero no los revele. SCHUFA está infringiendo flagrantemente la ley en este caso – y es probable que los responsables de SCHUFA sean plenamente conscientes de ello».
La autoridad de control de Hesse sigue sin actuar. En teoría, la Autoridad de Protección de Datos de Hesse (HBDI) debería supervisar a SCHUFA. De hecho, la autoridad supervisora parece haber tenido conocimiento de la «base de datos en la sombra» desde la primavera de 2025. Sin embargo, la autoridad (notoriamente inactiva) parece seguir protegiendo a SCHUFA. Como entidad autorizada por el Estado Entidad Cualificada, noyb ha tomado medidas para proteger a los consumidores frente a la acumulación desenfrenada de datos y el secretismo de SCHUFA. El cumplimiento del RGPD se restablecerá ahora en varias fases:
Paso 1: Carta de cese y desistimiento y orden judicial: noyb ha enviado hoy una carta de cese y desistimiento a SCHUFA. Con ella, noyb solicita que la agencia de información crediticia deje de almacenar datos más allá de los plazos de conservación especificados. Además, noyb solicita que SCHUFA facilite a las personas afectadas los datos históricos como parte de sus solicitudes de acceso y garantice la transparencia en cuanto a sus prácticas de tratamiento de datos. En caso de que la agencia de información crediticia se niegue a cumplir estas peticiones, noyb interpondrá una demanda de medidas cautelares para que los tribunales prohíban las prácticas ilegales de SCHUFA.
Max Schrems, presidente de noyb, afirma: «Lamentablemente, estamos siendo testigos de un colapso cada vez mayor de las autoridades públicas de protección de datos en Alemania. Por lo tanto, debemos emprender acciones legales como organización sin ánimo de lucro que actúa en interés público».
Posible paso 2: Demanda colectiva: Los interesadoscuyos datos estén (o hayan estado) almacenados en la «base de datos paralela» y que hayan enviado una solicitud de acceso a SCHUFA en los últimos años, en virtud del artículo 15 del RGPD, pueden haber sufrido daños morales. Según su propia información, SCHUFA almacena datos de más de 69 millones de personas , lo que supone casi la totalidad de la población adulta de Alemania. Al parecer, 1,6 millones de personas al año han recibido respuestas incorrectas a sus solicitudes de acceso: no se facilitó a nadie los datos históricos. Por lo general, los daños morales pueden estimarse en unos 500 € por persona.
Una demanda colectiva requiere una preparación mucho mayor que una solicitud de medidas cautelares. No obstante, noyb ya ha creado una lista de interesados en línea. Cualquiera puede inscribirse aquí para recibir información más adelante, en caso de que se emprendan acciones legales. Como organización financiada mediante donaciones, noyb emprende acciones legales exclusivamente en interés de los afectados.
Max Schrems, presidente de noyb, afirma: «SCHUFA no solo ha infringido la ley, sino que ha mentido y perjudicado a las personas afectadas. Tenemos la intención de reclamar una indemnización por estos daños sin ánimo de lucro».
Un amplio frente de la sociedad civil. OtrasONG y expertos en protección de datos también están criticando masivamente a SCHUFA y exigiendo que se elimine la «base de datos paralela». La ONG AlgorithmWatch ha lanzado una petición contra SCHUFA y la autoridad de protección de datos de Hesse, que no ha tomado medidas al respecto. Además, ofrece un formulario que permite a los afectados solicitar a SCHUFA información concreta sobre sus datos históricos.
Matthias Spielkamp, de AlgorithmWatch: «Nosotros y los casi 145 000 firmantes de nuestra petición exigimos lo siguiente: SCHUFA debe facilitar a los afectados toda la información; la Autoridad de Protección de Datos de Hesse debe actuar de una vez por todas y obligar a SCHUFA a eliminar definitivamente la “base de datos paralela”, además de imponerle la multa máxima posible.»
Más recientemente, varios abogados también han expresado opiniones críticas y han señalado posibles consecuencias adicionales:
Raphael Rohrmoser, socio de AdvoAdvice Rechtsanwälte: «Ya se han presentado innumerables demandas contra SCHUFA en relación con el derecho de acceso y el derecho de supresión. Ahora ha salido a la luz que los datos «eliminados» siguen estando, de hecho, ampliamente disponibles y que nadie fue informado al respecto. Esto plantea la cuestión clave de si la información facilitada por SCHUFA en los procedimientos judiciales fue siempre veraz.»
Peter Hense, socio de Spirit Legal Rechtsanwälte: «Si una agencia de crédito transmite a terceros, a cambio de una contraprestación, datos etiquetados como “eliminados”, esto podría constituir un delito. Quizá necesitemos que la fiscalía y los tribunales drenen de una vez por todas el pantano de datos de la SCHUFA».
