A metà luglio, le indagini condotte da NDR e dalla SZ hanno rivelato che l’agenzia di informazioni creditizie SCHUFA conserva milioni di record di dati che avrebbero dovuto essere cancellati già da tempo. Da allora è emerso chiaramente che la SCHUFA utilizza questi dati anche per «scopi di test» dei propri clienti. Potenzialmente, sono coinvolte tutte le 69 milioni di persone sui cui dati la SCHUFA detiene informazioni. E la SCHUFA continua a opporre resistenza: anche in risposta alle richieste di accesso ai sensi dell’articolo 15 del GDPR, l’azienda si rifiuta di divulgare questi dati storici. Date le evidenti violazioni del GDPR, noyb ha ora inviato un richiamo formale all’agenzia di informazioni creditizie e annunciato un’azione inibitoria. Gli interessati i cui dati storici sono stati trattenuti dalla SCHUFA possono inoltre manifestare il proprio interesse a partecipare a una futura azione collettiva per il risarcimento dei danni.
- Inchieste della NDR e della SZ: “Il ‘database ombra’ della Schufa»
- La risposta della SCHUFA: “La verità sul presunto ‘database ombra’»
- Risposta dell’avvocato della SCHUFA Tim Wybitul su LinkedIn
- Petizione di Algorithm Watch: “Scandalo SCHUFA: cancellate immediatamente il database ombra!”
La SCHUFA e la sua promessa di trasparenza. InGermania, è praticamente impossibile sfuggire alla SCHUFA. Chiunque desideri un prestito, un contratto di telefonia mobile o un appartamento in affitto deve sperare che la potente agenzia di informazioni creditizie confermi di avere un rating di credito sufficiente. Tuttavia, il modo in cui la SCHUFA calcola i propri punteggi di credito è sempre stato una scatola nera – e, di conseguenza, è stato regolarmente oggetto di critiche e procedimenti legali, fino alla Corte di giustizia europea. Recentemente, la SCHUFA ha lanciato una «campagna per la trasparenza» e da allora si vanta di aver creato «trasparenza totale».
Un seminterrato pieno di dati «cancellati». Secondo l’ informativa sulla privacy di SCHUFA, il periodo di conservazione dei dati utilizzati per il calcolo del punteggio di credito deve essere determinato anche da codici di condotta autoimposti. I crediti in fase di recupero o i dati relativi a prestiti estinti, ad esempio, verrebbero cancellati tre anni dopo il pagamento. Tuttavia, a quanto pare, il termine «cancellati» ha un significato ben diverso per la SCHUFA rispetto a quello previsto dal GDPR – e per l’opinione pubblica: i dati sarebbero apparentemente solo «nascosti» e quindi scompaiono dalla vista dei consumatori, ma non dai sistemi della SCHUFA. Anzi, è proprio il contrario: i dati continuano a essere trattati dietro le quinte e vengono persino utilizzati per le «convalide del punteggio di credito» di terzi.
Martin Baumann, avvocato specializzato in protezione dei dati presso noyb: «Il ‘database ombra’ della SCHUFA è un esempio da manuale di trattamento illecito dei dati. La SCHUFA elabora segretamente dati che, secondo le sue stesse dichiarazioni, avrebbero dovuto essere cancellati già da tempo, e alla fine ci guadagna.”
Diritto di accesso categoricamente negato. La SCHUFA si mostra del tutto incoerente quando si tratta del diritto di accesso: da un lato, sostiene che la “banca dati ombra”, finora sconosciuta, sia del tutto trasparente. D’altro canto, ammette che gli interessati non ricevono una copia dei dati storici ancora conservati quando presentano una richiesta di accesso ai sensi dell’articolo 15 del GDPR. In sostanza, la SCHUFA sostiene che gli interessati siano interessati solo a sapere quali dati vengono attualmente considerati nel loro punteggio. I dati conservati in segreto, quindi, non devono essere comunicati. Dal punto di vista giuridico, si tratta di un ragionamento del tutto assurdo. Un’azienda non può semplicemente limitare il proprio obbligo di informazione ai dati che essa stessa ritiene «di interesse» per gli interessati. La Corte di giustizia dell’Unione europea lo ha chiarito da tempo: una copia dei dati deve essere una riproduzione completa e fedele di tutti i dati trattati.
Marco Blocher, avvocato specializzato in protezione dei dati presso noyb, afferma: «È chiaramente illegale che la SCHUFA conservi dati che sarebbero stati “cancellati” in un “database ombra” senza però renderli accessibili. In questo modo la SCHUFA sta palesemente violando la legge – e i responsabili della SCHUFA ne sono probabilmente ben consapevoli.”
L’autorità di controllo dell’Assia rimane inerte. In teoria, l’Autorità per la protezione dei dati dell’Assia (HBDI) dovrebbe vigilare sulla SCHUFA. In realtà, l’autorità di controllo sembra essere a conoscenza del ‘database ombra’ sin dalla primavera del 2025. Tuttavia, l’autorità (notoriamente inattiva) sembra continuare a proteggere la SCHUFA. In qualità di Entità Qualificata, noyb ha quindi intrapreso un’azione per proteggere i consumatori dall’accumulo sfrenato di dati e dalla segretezza della SCHUFA. La conformità al GDPR dovrà ora essere ripristinata in diverse fasi:
Fase 1: Lettera di diffida e ingiunzione: noyb ha inviato oggi una lettera di diffida a SCHUFA. Con essa, noyb chiede che l’agenzia di informazioni creditizie smetta di conservare i dati oltre i periodi di conservazione specificati. Inoltre, noyb chiede che la SCHUFA fornisca alle persone interessate i dati storici nell’ambito delle loro richieste di accesso e garantisca trasparenza riguardo alle proprie pratiche di trattamento dei dati. Qualora l’agenzia di informazioni creditizie dovesse rifiutarsi di ottemperare a tali richieste, noyb avvierà un'azione inibitoria affinché le pratiche illegali di SCHUFA vengano vietate dai tribunali.
Max Schrems, presidente di noyb, ha dichiarato: «Purtroppo, assistiamo sempre più spesso a un fallimento delle autorità pubbliche preposte alla protezione dei dati in Germania. Dobbiamo quindi intraprendere un’azione legale in qualità di organizzazione senza scopo di lucro che agisce nell’interesse pubblico».
Possibile fase 2: Azione collettiva: gli interessati icui dati sono (o sono stati) conservati nel «database ombra» e che negli ultimi anni hanno inviato a SCHUFA una richiesta di accesso ai sensi dell’articolo 15 del GDPR potrebbero aver subito danni non patrimoniali. Secondo le informazioni fornite dalla stessa SCHUFA, essa conserva dati relativi a oltre 69 milioni di persone – ovvero quasi l’intera popolazione adulta della Germania. Sembra che 1,6 milioni di persone all’anno abbiano ricevuto risposte errate alle proprie richieste di accesso: i dati storici non sono stati forniti a nessuno. In genere, i danni morali possono essere stimati a circa 500 € a persona.
Un’azione collettiva richiede una preparazione significativamente maggiore rispetto a un’ingiunzione. Ciononostante, noyb ha già creato una lista di interesse online. Chiunque può iscriversi qui per essere informato in un secondo momento, qualora venisse intrapresa un’azione legale. Essendo un’organizzazione finanziata da donazioni, noyb intraprende azioni legali esclusivamente nell’interesse delle persone coinvolte.
Max Schrems, presidente di noyb, ha dichiarato: «La SCHUFA non solo ha violato la legge, ma ha anche mentito e arrecato danno alle persone interessate. Intendiamo chiedere un risarcimento per questi danni senza scopo di lucro».
Un ampio fronte della società civile.AnchealtreONG ed esperti di protezione dei dati stanno criticando aspramente la SCHUFA e chiedono che la «banca dati ombra» venga cancellata. L’ONG AlgorithmWatch ha lanciato una petizione contro la SCHUFA e l’autorità per la protezione dei dati dell’Assia, che non è intervenuta. Fornisce inoltre un modulo che consente alle persone interessate di richiedere alla SCHUFA informazioni specifiche sui propri dati storici.
Matthias Spielkamp, AlgorithmWatch: «Noi e i quasi 145.000 firmatari della nostra petizione chiediamo che la SCHUFA fornisca alle persone interessate informazioni complete; che l’Autorità per la protezione dei dati dell’Assia intervenga finalmente e obblighi la SCHUFA a cancellare definitivamente il ‘database ombra’, infliggendo la sanzione massima prevista.»
Di recente, anche diversi avvocati hanno espresso pareri critici e segnalato possibili ulteriori conseguenze:
Raphael Rohrmoser, socio dello studio AdvoAdvice Rechtsanwälte: «Ci sono già state innumerevoli cause contro la SCHUFA riguardanti il diritto di accesso e il diritto alla cancellazione. Ora è emerso che i dati ‘cancellati’ sono in realtà ancora ampiamente disponibili e che nessuno ne è stato informato. Ciò solleva la questione fondamentale se le informazioni fornite dalla SCHUFA nei procedimenti giudiziari siano sempre state accurate.»
Peter Hense, socio dello studio Spirit Legal Rechtsanwälte: «Se un’agenzia di credito trasmette a terzi, a titolo oneroso, dati contrassegnati come “cancellati”, ciò potrebbe costituire un reato. Forse abbiamo bisogno che la Procura e i tribunali bonifichino finalmente la palude dei dati della SCHUFA.»
