À la mi-juillet, des enquêtes menées par la NDR et la SZ ont révélé que l’agence d’information sur le crédit SCHUFA conserve des millions d’enregistrements qui auraient dû être supprimés depuis longtemps. Il est depuis apparu clairement que la SCHUFA utilise également ces données à des « fins de test » pour ses clients. Potentiellement, les 69 millions de personnes sur lesquelles la SCHUFA détient des données sont concernées. Et la SCHUFA continue de faire obstruction : même en réponse aux demandes d’accès formulées en vertu de l’article 15 du RGPD, l’entreprise refuse de divulguer ces données historiques. Compte tenu des violations manifestes du RGPD, noyb a désormais adressé un avertissement formel à l’agence d’information sur le crédit et annoncé une action en cessation. Les personnes concernées dont les données historiques ont été retenues par la SCHUFA peuvent également manifester leur intérêt pour un futur recours collectif en dommages-intérêts.
- Enquêtes menées par la NDR et la SZ : «La « base de données fantôme » de la Schufa»
- Réponse de la SCHUFA : «La vérité sur la prétendue « base de données fantôme »»
- Réponse de l’avocat de la SCHUFA Tim Wybitul sur LinkedIn
- Pétition lancée par Algorithm Watch : «Scandale SCHUFA : supprimez immédiatement la base de données fantôme !»
La SCHUFA et sa promesse de transparence. EnAllemagne, il est pratiquement impossible d’échapper à la SCHUFA. Quiconque souhaite obtenir un prêt, souscrire un abonnement de téléphonie mobile ou louer un appartement doit espérer que cette puissante agence d’information sur le crédit confirme qu’il dispose d’une solvabilité suffisante. Cependant, la manière dont la SCHUFA établit ses cotes de crédit a toujours été une « boîte noire » – ce qui lui a valu d’être régulièrement la cible de critiques et de procédures judiciaires, allant jusqu’à la Cour de justice de l’Union européenne. Récemment, la SCHUFA a lancé une « campagne de transparence » et se félicite depuis d’avoir instauré « une transparence totale ».
Une cave remplie de données « supprimées ». Selon la politique de confidentialité de la SCHUFA, la durée de conservation des données utilisées pour calculer la note de crédit doit également être déterminée par des des codes de conduite auto-imposés. Les créances en recouvrement ou les données relatives à des prêts remboursés, par exemple, seraient supprimées trois ans après le paiement. Cependant, le terme « supprimé » semble avoir une signification bien différente pour la SCHUFA que dans le cadre du RGPD – et pour le grand public : les données ne seraient apparemment que «masquées» et disparaissent donc de la vue des consommateurs, mais pas des systèmes de la SCHUFA. Bien au contraire : les données continuent d’être traitées en arrière-plan et sont même utilisées pour les « validations de cotes de crédit » de tiers.
Martin Baumann, avocat spécialisé dans la protection des données chez noyb : «La « base de données fantôme » de la SCHUFA est un exemple typique de traitement illicite des données. La SCHUFA traite secrètement des données qui, selon ses propres déclarations, auraient dû être supprimées depuis longtemps, et en tire finalement profit. »
Droit d’accès catégoriquement refusé. La SCHUFA se montre totalement incohérente en matière de droit d’accès : d’une part, elle affirme que cette « base de données fantôme », jusqu’alors inconnue, est entièrement transparente. D’autre part, elle admet que les personnes concernées ne reçoivent pas de copie des données historiques encore stockées lorsqu’elles formulent une demande d’accès en vertu de l’article 15 du RGPD. En substance, la SCHUFA fait valoir que les personnes concernées ne s’intéressent qu’aux données actuellement prises en compte dans leur score. Les données stockées en secret n'ont donc pas à être divulguées. D’un point de vue juridique, ce raisonnement est totalement absurde. Une entreprise ne peut pas se contenter de limiter son obligation d’information aux données qu’elle juge elle-même «d’intérêt» pour les personnes concernées. La Cour de justice de l’Union européenne l’a clairement établi depuis longtemps : une copie des données doit constituer une reproduction complète et fidèle de l’ensemble des données traitées.
Marco Blocher, avocat spécialisé dans la protection des données chez noyb, déclare : « Il est clairement illégal que la SCHUFA conserve des données prétendument “supprimées” dans une “base de données fantôme” sans les divulguer. La SCHUFA enfreint ici de manière flagrante la loi – et les responsables de la SCHUFA en sont probablement parfaitement conscients. »
L’autorité de contrôle de Hesse reste inactive. En théorie, l’Autorité de protection des données de Hesse (HBDI) est censée superviser la SCHUFA. En réalité, l’autorité de contrôle semble avoir eu connaissance de l’existence de cette « base de données fantôme » depuis le printemps 2025. Cependant, cette autorité (réputée pour son inaction) semble continuer à protéger la SCHUFA. En tant qu’entité agréée par l’État entité qualifiée, noyb a donc pris des mesures pour protéger les consommateurs contre l'accumulation effrénée de données et le secret de la SCHUFA. La conformité au RGPD doit désormais être rétablie en plusieurs étapes :
Étape 1 : Lettre de mise en demeure et injonction : noyb a adressé aujourd'hui une lettre de mise en demeure à la SCHUFA. Par ce biais, noyb demande à l'agence d'information sur le crédit de cesser de conserver les données au-delà des délais de conservation prévus. De plus, noyb demande à la SCHUFA de fournir aux personnes concernées leurs données historiques dans le cadre de leurs demandes d'accès et de garantir la transparence quant à ses pratiques en matière de traitement des données. Si l'agence d'information sur le crédit refuse de se conformer à ces demandes, noyb intentera une action en injonction afin que les pratiques illégales de la SCHUFA soient interdites par les tribunaux.
Max Schrems, président de noyb, a déclaré : « Malheureusement, nous assistons de plus en plus à un affaiblissement des autorités publiques chargées de la protection des données en Allemagne. Nous devons donc engager une action en justice en tant qu’association à but non lucratif agissant dans l’intérêt public. »
Deuxième étape possible : recours collectif :les personnesconcernéesdont lesdonnéessont (ou ont été) stockées dans la « base de données fantôme » et qui ont adressé ces dernières années une demande d’accès à la SCHUFA en vertu de l’article 15 du RGPD pourraient avoir subi un préjudice moral. Selon ses propres informations, la SCHUFA stocke des données concernant plus de 69 millions de personnes , soit la quasi-totalité de la population adulte en Allemagne. Il semble que 1,6 million de personnes par an ont reçu des réponses erronées à leurs demandes d’accès : les données historiques n’ont été fournies à personne. En règle générale, le préjudice moral peut être estimé à environ 500 € par personne.
Un recours collectif nécessite une préparation bien plus importante qu’une injonction. Néanmoins, noyb a déjà mis en place une liste d’intérêt en ligne. Tout le monde peut s’y inscrire pour être informé ultérieurement, si une action en justice venait à être engagée. En tant qu’organisation financée par des dons, noyb engage des actions en justice uniquement dans l’intérêt des personnes concernées.
Max Schrems, président de noyb, a déclaré : « La SCHUFA a non seulement enfreint la loi, mais elle a également menti aux personnes concernées et leur a porté préjudice. Nous avons l'intention de demander réparation pour ces préjudices à but non lucratif. »
Un large front de la société civile. D’autresONG et experts en protection des données critiquent également massivement la SCHUFA et exigent la suppression de la « base de données fantôme ». L’ONG AlgorithmWatch a lancé une pétition contre la SCHUFA et l’autorité chargée de la protection des données en Hesse, qui n’a pas pris les mesures qui s’imposaient. Elle propose également un formulaire permettant aux personnes concernées de demander à la SCHUFA des informations précises sur leurs données historiques.
Matthias Spielkamp, d’AlgorithmWatch : «Nous, ainsi que près de 145 000 signataires de notre pétition, exigeons que la SCHUFA fournisse aux personnes concernées des informations complètes ; que l’autorité de protection des données de Hesse agisse enfin et oblige la SCHUFA à supprimer définitivement la « base de données fantôme », et qu’elle lui inflige l’amende maximale possible.»
Récemment, plusieurs avocats ont également exprimé des avis critiques et souligné d’éventuelles conséquences supplémentaires :
Raphael Rohrmoser, associé chez AdvoAdvice Rechtsanwälte : «Il y a déjà eu d’innombrables procédures judiciaires contre la SCHUFA concernant le droit d’accès et le droit à l’effacement. Il apparaît désormais que des données « supprimées » sont en réalité encore largement disponibles et que personne n’en a été informé. Cela soulève la question cruciale de savoir si les informations fournies par la SCHUFA lors des procédures judiciaires ont toujours été exactes.»
Peter Hense, associé chez Spirit Legal Rechtsanwälte : « Si une agence de crédit transmet à des tiers, contre rémunération, des données qualifiées de « supprimées », cela peut constituer une infraction pénale. Peut-être faut-il que le parquet et les tribunaux assainissent enfin le marécage des données de la SCHUFA. »
