Heinäkuun puolivälissä NDR:n ja SZ:n tutkimukset paljastivat, että luottotietoyhtiö SCHUFA säilyttää miljoonia tietueita, jotka olisi pitänyt poistaa jo kauan sitten. Sen jälkeen on käynyt ilmi, että SCHUFA käyttää näitä tietoja myös asiakkaidensa ”testitarkoituksiin”. Asia koskee mahdollisesti kaikkia niitä 69 miljoonaa ihmistä, joista SCHUFA:lla on tietoja. Ja SCHUFA jatkaa kieltäytymistään: jopa GDPR:n 15 artiklan mukaisiin tietojen saantipyyntöihin vastatessaan yritys kieltäytyy luovuttamasta näitä vanhoja tietoja. Ottaen huomioon ilmeiset GDPR-rikkomukset, noyb on nyt antanut luottotietoyhtiölle virallisen varoituksen ja ilmoittanut hakevansa kieltomääräystä. Rekisteröidyt, joiden historiallisia tietoja SCHUFA on pidättänyt, voivat myös ilmoittaa kiinnostuksensa osallistua tulevaan ryhmäkanteeseen vahingonkorvauksia varten.
- NDR:n ja SZ:n tutkimukset: ”Schufan ’varjotietokanta’”
- SCHUFA:n vastaus: ”Totuus väitetystä ’varjotietokannasta’”
- SCHUFA:n asianajajan vastaus Tim Wybitul LinkedInissä
- Algorithm Watchin vetoomus: ”SCHUFA-skandaali: Poistakaa varjotietokanta välittömästi!”
SCHUFA ja sen lupaus avoimuudesta. SaksassaSCHUFA:ta ei käytännössä voi kiertää. Jokainen, joka haluaa lainaa, matkapuhelinsopimusta tai vuokra-asuntoa, on riippuvainen siitä, että tämä vaikutusvaltainen luottotietoyhtiö vahvistaa hakijan luottokelpoisuuden olevan riittävä. SCHUFA:n luottokelpoisuusarvioiden laskentatapa on kuitenkin aina ollut musta laatikko – ja sen vuoksi se on säännöllisesti ollut kritiikin ja oikeudenkäyntien kohteena, jopa Euroopan unionin tuomioistuimessa asti. Äskettäin SCHUFA käynnisti ”läpinäkyvyyskampanjan” ja on siitä lähtien ylistänyt itseään ”täydellisen läpinäkyvyyden”.
Kellari täynnä ”poistettuja” tietoja. SCHUFA:n tietosuojakäytännönmukaan luottokelpoisuusluokituksen laskemiseen käytettävien tietojen säilytysaika määräytyy myös itse asetettujen käytännesääntöjen. Esimerkiksi perintävaateet tai tiedot maksetuista lainoista poistettaisiin kolmen vuoden kuluttua maksun suorittamisesta. Ilmeisesti ”poistettu” tarkoittaa kuitenkin SCHUFA:lle jotain aivan muuta kuin mitä se tarkoittaa GDPR:n – ja suuren yleisön – mielessä: tiedot ovat ilmeisesti vain ”piilotettuja” ja katoavat siten kuluttajien näkyvistä, mutta eivät SCHUFA:n järjestelmistä. Päinvastoin: tietoja käsitellään edelleen kulissien takana, ja niitä käytetään jopa kolmansien osapuolten ”luottokelpoisuuden vahvistamiseen”.
Martin Baumann, tietosuojalakimies noyb: ”SCHUFA:n ’varjotietokanta’ on oppikirjaesimerkki laittomasta tietojenkäsittelystä. SCHUFA käsittelee salaa tietoja, jotka sen omien lausuntojen mukaan olisi pitänyt poistaa jo kauan sitten, ja ansaitsee lopulta rahaa tällä toiminnalla.”
Oikeus saada pääsy tietoihin kieltäydytään jyrkästi. SCHUFA on täysin epäjohdonmukainen, kun kyse on oikeudesta saada pääsy tietoihin: toisaalta SCHUFA väittää, että aiemmin tuntematon ’varjotietokanta’ on täysin läpinäkyvä. Toisaalta se myöntää, että rekisteröidyt eivät saa kopiota edelleen tallennetuista historiallisista tiedoista, kun he tekevät tietojen saamista koskevan pyynnön GDPR:n 15 artiklan nojalla. Pohjimmiltaan SCHUFA väittää, että rekisteröidyt ovat kiinnostuneita vain siitä, mitkä tiedot otetaan tällä hetkellä huomioon heidän luottopisteytyksessään. Salaisesti tallennettuja tietoja ei siis tarvitse paljastaa. Oikeudellisesta näkökulmasta tämä on täysin absurdi päättelyketju. Yritys ei voi yksinkertaisesti rajoittaa tietojen luovuttamisvelvollisuuttaan koskemaan vain niitä tietoja, joita se itse pitää rekisteröityjen kannalta ”kiinnostavina”. Euroopan unionin tuomioistuin on jo kauan sitten tehnyt selväksi: tietokopion on oltava täydellinen ja uskollinen jäljennös kaikista käsitellyistä tiedoista.
Marco Blocher, tietosuojalakimies noyb: ”On selvästi lainvastaista, että SCHUFA tallentaa oletettavasti ’poistettuja’ tietoja ’varjotietokantaan’ mutta ei luovuta niitä. SCHUFA rikkoo tässä räikeästi lakia – ja SCHUFA:n johto on todennäköisesti hyvin tietoinen tästä.”
Hessenin valvontaviranomainen pysyy passiivisena. Teoriassa Hessenin tietosuojaviranomaisen (HBDI) pitäisi valvoa SCHUFAa. Itse asiassa valvontaviranomainen näyttää olleen tietoinen ’varjotietokannasta’ jo keväästä 2025 lähtien. Kuitenkin tämä (tunnetusti passiivinen) viranomainen näyttää edelleen suojelevan SCHUFAa. Valtion hyväksymänä pätevänä tahona, noyb on siksi ryhtynyt toimiin kuluttajien suojelemiseksi SCHUFA:n hillittömältä tietojen keräämiseltä ja salailulta. GDPR-asetuksen noudattaminen on nyt tarkoitus palauttaa useassa vaiheessa:
Vaihe 1: Varoituskirje ja kieltomääräys: noyb on tänään lähettänyt SCHUFA:lle lopettamis- ja pidättäytymiskirjeen. Sen yhteydessä noyb vaatii, että luottotietoyritys lopettaa tietojen säilyttämisen määriteltyjen säilytysaikojen jälkeen. Lisäksi noyb vaatii, että SCHUFA toimittaa asianomaisille henkilöille historiatiedot osana heidän tietojen saantipyyntöjään ja varmistaa tietojenkäsittelykäytäntöjensä läpinäkyvyyden. Mikäli luottotietoyhtiö kieltäytyy noudattamasta näitä vaatimuksia, noyb nostaa kanteen, jolla pyritään saamaan tuomioistuin kieltämään SCHUFA:n laittomat käytännöt.
Max Schrems, noyb: ”Valitettavasti joudumme yhä useammin todistamaan, että Saksan julkiset tietosuojaviranomaiset eivät enää hoida tehtäväänsä. Siksi meidän on ryhdyttävä oikeustoimiin yleishyödyllisenä järjestönä, joka toimii yleisen edun puolesta.”
Mahdollinen vaihe 2: Ryhmäkanne: Rekisteröidyt, joiden tietoja säilytetään (tai on säilytetty) ”varjotietokannassa” ja jotka ovat lähettäneet SCHUFA:lle viime vuosina GDPR:n 15 artiklan mukaisen tietojen saamista koskevan pyynnön, ovat saattaneet kärsiä henkistä vahinkoa. SCHUFA:n omien tietojen mukaan se säilyttää tietoja yli 69 miljoonasta ihmisestä – mikä on lähes koko Saksan aikuisväestö. Näyttää siltä, että 1,6 miljoonaa ihmistä vuodessa on saanut virheellisiä vastauksia tietojen saamispyyntöihinsä: historiallisia tietoja ei toimitettu kenellekään. Tyypillisesti aineettomat vahingot voidaan arvioida noin 500 euroksi henkilöä kohti.
Ryhmäkanne vaatii huomattavasti enemmän valmistelua kuin kieltomääräys. Siitä huolimatta noyb on jo perustanut verkossa kiinnostuneiden listan. Kuka tahansa voi ilmoittautua tänne saadakseen tiedon myöhemmin, mikäli oikeustoimiin ryhdytään. Lahjoituksilla rahoitettuna järjestönä noyb oikeustoimia yksinomaan asianomaisten etujen puolesta.
Max Schrems, noyb: ”SCHUFA ei ole ainoastaan rikkonut lakia, vaan se on myös valehdellut asianomaisille ja aiheuttanut heille vahinkoa. Aiomme hakea korvausta näistä vahingoista voittoa tavoittelematta.”
Laaja kansalaisyhteiskunnan rintama.Myösmuutkansalaisjärjestöt ja tietosuoja-asiantuntijat kritisoivat voimakkaasti SCHUFAa ja vaativat ”varjotietokannan” poistamista. Kansalaisjärjestö AlgorithmWatch on käynnistänyt vetoomuksen SCHUFAa ja Hessenin tietosuojaviranomaista vastaan, joka ei ole ryhtynyt toimenpiteisiin. Se tarjoaa myös lomakkeen , jonka avulla asianomaiset voivat pyytää SCHUFA:lta tarkkoja tietoja aiemmista tiedoistaan.
Matthias Spielkamp, AlgorithmWatch: ”Me ja vetoomuksemme lähes 145 000 allekirjoittajaa vaadimme seuraavaa: SCHUFA:n on annettava asianomaisille täydelliset tiedot; Hessenin tietosuojaviranomaisen on vihdoin ryhdyttävä toimenpiteisiin ja velvoitettava SCHUFA poistamaan ’varjotietokanta’ pysyvästi sekä määrättävä sille suurin mahdollinen sakko.”
Viime aikoina myös useat lakimiehet ovat ilmaisseet kriittisiä näkemyksiä ja tuoneet esiin mahdollisia jatkoseurauksia:
Raphael Rohrmoser, AdvoAdvice Rechtsanwälte -asianajotoimiston osakas: ”SCHUFAa vastaan on jo käyty lukemattomia oikeudenkäyntejä, jotka koskevat oikeutta saada pääsy tietoihin ja oikeutta tietojen poistamiseen. Nyt on käynyt ilmi, että ’poistetut’ tiedot ovat itse asiassa edelleen laajasti saatavilla eikä asiasta ole ilmoitettu kenellekään. Tämä herättää keskeisen kysymyksen siitä, olivatko SCHUFA:n oikeudenkäynneissä antamat tiedot aina paikkansapitäviä.”
Peter Hense, Spirit Legal Rechtsanwälte -asianajotoimiston osakas: ”Jos luottotietoyhtiö välittää ’poistettuina’ merkittyjä tietoja kolmansille osapuolille maksua vastaan, tämä voi olla rikos. Ehkä tarvitsemme syyttäjänvirastoa ja tuomioistuimia, jotta SCHUFA:n tietosuo-o vihdoin kuivataan.”
