W połowie lipca dochodzenia przeprowadzone przez NDR i SZ ujawniły, że agencja informacji kredytowej SCHUFA przechowuje miliony rekordów danych, które już dawno powinny zostać usunięte. Od tego czasu stało się jasne, że SCHUFA wykorzystuje te dane również do „celów testowych” swoich klientów. Potencjalnie dotyczy to wszystkich 69 milionów osób, których dane przechowuje SCHUFA. A SCHUFA nadal stosuje taktykę unikania odpowiedzi: nawet w odpowiedzi na wnioski o dostęp złożone na podstawie art. 15 RODO firma odmawia ujawnienia tych historycznych danych. Biorąc pod uwagę oczywiste naruszenia RODO, organizacja noyb wystosowała formalne ostrzeżenie do agencji informacji kredytowej i zapowiedziała wniosek o wydanie nakazu sądowego. Osoby, których historyczne dane zostały zatrzymane przez SCHUFA, mogą również zgłosić chęć udziału w przyszłym pozwie zbiorowym o odszkodowanie.
- Śledztwo stacji NDR i gazety „SZ”: „„Tajna baza danych” Schufy”
- Odpowiedź SCHUFA: „Prawda o rzekomej „tajnej bazie danych””
- Odpowiedź prawnika SCHUFA Tima Wybitula na LinkedIn
- Petycja organizacji Algorithm Watch: „Skandal SCHUFA: Natychmiast usunąć tajną bazę danych!”
SCHUFA i jej obietnica przejrzystości. WNiemczech praktycznie nie da się obejść SCHUFA. Każdy, kto chce wziąć kredyt, zawrzeć umowę na telefon komórkowy lub wynająć mieszkanie, musi liczyć na to, że ta potężna agencja informacji kredytowej potwierdzi, że ma wystarczającą zdolność kredytową. Jednak sposób, w jaki SCHUFA ustala oceny kredytowe, zawsze pozostawał „czarną skrzynką” – i w rezultacie regularnie był przedmiotem krytyki i postępowań sądowych, sięgających aż do Europejskiego Trybunału Sprawiedliwości. Niedawno SCHUFA rozpoczęła „kampanię na rzecz przejrzystości” i od tego czasu chwali się, że zapewniła „pełną przejrzystość”.
Piwnica pełna „usuniętych” danych. Zgodnie z polityki prywatności SCHUFA, okres przechowywania danych wykorzystywanych do obliczania oceny kredytowej ma być również określany na podstawie dobrowolnych kodeksów postępowania. Na przykład roszczenia windykacyjne lub dane dotyczące spłaconych kredytów byłyby usuwane trzy lata po spłacie. Jednak termin „usunięte” najwyraźniej oznacza dla SCHUFA coś zupełnie innego niż w rozumieniu RODO – i dla ogółu społeczeństwa: dane są najwyraźniej jedynie „ukrywane” i w ten sposób znikają z pola widzenia konsumentów, ale nie z systemów SCHUFA. Wręcz przeciwnie: dane są nadal przetwarzane w tle, a nawet wykorzystywane przez osoby trzecie do „weryfikacji zdolności kredytowej”.
Martin Baumann, prawnik specjalizujący się w ochronie danych w noyb: „„Cień bazy danych” SCHUFA to podręcznikowy przykład niezgodnego z prawem przetwarzania danych. SCHUFA potajemnie przetwarza dane, które – zgodnie z własnymi oświadczeniami – powinny były zostać usunięte już dawno temu, a ostatecznie czerpie z tego zyski”.
Prawo dostępu kategorycznie odmawiane. SCHUFA wykazuje się całkowitą niespójnością, jeśli chodzi o prawo dostępu: z jednej strony SCHUFA twierdzi, że nieznana dotąd „tajna baza danych” jest całkowicie przejrzysta. Z drugiej strony przyznaje, że osoby, których dane dotyczą, nie otrzymują kopii historycznych danych nadal przechowywanych w ramach wniosku o dostęp złożonego na podstawie art. 15 RODO. Zasadniczo SCHUFA argumentuje, że osoby, których dane dotyczą, interesuje wyłącznie to, jakie dane są obecnie uwzględniane w ich ocenie. Dane przechowywane w tajemnicy nie muszą zatem być ujawniane. Z prawnego punktu widzenia jest to całkowicie absurdalny tok rozumowania. Przedsiębiorstwo nie może po prostu ograniczyć swojego obowiązku udzielenia informacji do danych, które samo uznaje za „interesujące” dla osób, których dane dotyczą. Europejski Trybunał Sprawiedliwości już dawno wyjaśnił: kopia danych musi stanowić kompletne, wierne odzwierciedlenie wszystkich przetwarzanych danych.
Marco Blocher, prawnik ds. ochrony danych w noyb: „Przechowywanie przez SCHUFA danych, które rzekomo zostały »usunięte«, w »tajnej bazie danych« bez ich ujawniania jest ewidentnie niezgodne z prawem. SCHUFA w ten sposób rażąco narusza prawo – a osoby kierujące SCHUFA są tego prawdopodobnie w pełni świadome”.
Heski organ nadzorczy pozostaje bierny. Teoretycznie nadzór nad SCHUFA powinien sprawować Heski Urząd Ochrony Danych (HBDI). W rzeczywistości wydaje się, że organ nadzorczy wiedział o istnieniu „tajnej bazy danych” już od wiosny 2025 roku. Jednak ten (znany ze swojej bierności) organ nadal wydaje się chronić SCHUFA. Jako podmiot posiadający zezwolenie państwowe podmiotem kwalifikowanym, noyb podjął zatem działania mające na celu ochronę konsumentów przed nieograniczonym gromadzeniem danych i tajemnicą ze strony SCHUFA. Zgodność z RODO ma zostać przywrócona w kilku etapach:
Krok 1: Wezwanie do zaprzestania naruszeń i nakaz sądowy: Organizacja noyb wysłało dzisiaj pismo z żądaniem zaprzestania naruszeń do SCHUFA. Wraz z nim noyb zwraca się do agencji informacji kredytowej o zaprzestanie przechowywania danych po upływie określonych okresów przechowywania. Ponadto noyb zwraca się do SCHUFA o udostępnianie osobom, których dane dotyczą, danych historycznych w ramach wniosków o dostęp do danych oraz o zapewnienie przejrzystości w zakresie praktyk przetwarzania danych. W przypadku odmowy spełnienia tych żądań przez agencję informacji kredytowej, noyb wniesie powództwo o wydanie nakazu sądowego w celu zakazania przez sąd niezgodnych z prawem praktyk stosowanych przez SCHUFA.
Max Schrems, przewodniczący noyb, powiedział: „Niestety coraz częściej obserwujemy załamanie się funkcjonowania publicznych organów ochrony danych w Niemczech. Dlatego jako organizacja non-profit działająca w interesie publicznym musimy podjąć kroki prawne”.
Możliwy krok 2: Pozew zbiorowy: Osoby,których dane są (lub były) przechowywane w „tajnej baziedanych” i które w ostatnich latach skierowały do SCHUFA wniosek o dostępdo danychna podstawie art. 15 RODO, mogły ponieść szkody niematerialne. Zgodnie z własnymi informacjami SCHUFA przechowuje dane dotyczące ponad 69 milionów osób – co stanowi niemal całą dorosłą populację Niemiec. Wydaje się, że 1,6 miliona osób rocznie otrzymało błędne odpowiedzi na swoje wnioski o dostęp: nikomu nie udostępniono danych historycznych. Zazwyczaj szkody niematerialne można oszacować na około 500 euro na osobę.
Pozew zbiorowy wymaga znacznie większego przygotowania niż wniosek o wydanie nakazu sądowego. Niemniej jednak noyb utworzyło już internetową listę zainteresowanych. Każdy może się tutaj zapisać, aby otrzymać informacje w późniejszym terminie, jeśli zostaną podjęte kroki prawne. Jako organizacja finansowana z darowizn, noyb podejmuje działania prawne wyłącznie w interesie osób, których sprawa dotyczy.
Max Schrems, przewodniczący noyb, stwierdził: „SCHUFA nie tylko złamała prawo, ale także okłamała i wyrządziła szkodę osobom, których to dotyczy. Zamierzamy dochodzić odszkodowania za te szkody, działając na zasadach niekomercyjnych.”
Szeroki front społeczeństwa obywatelskiego.Równieżinneorganizacje pozarządowe i eksperci ds. ochrony danych ostro krytykują SCHUFA i domagają się usunięcia »tajnej bazy danych«. Organizacja pozarządowa AlgorithmWatch wystosowała petycję przeciwko SCHUFA i organowi ochrony danych w Hesji, który nie podjął żadnych działań. Udostępnia ona również formularz , dzięki któremu osoby poszkodowane mogą zwrócić się do SCHUFA z prośbą o konkretne informacje dotyczące swoich danych historycznych.
Matthias Spielkamp, AlgorithmWatch: „Wraz z prawie 145 000 sygnatariuszy naszej petycji domagamy się, aby: SCHUFA udzieliła osobom, których to dotyczy, pełnych informacji; heskie urzędy ds. ochrony danych w końcu podjęły działania i zobowiązały SCHUFA do trwałego usunięcia »tajnej bazy danych«, a także nałożyły najwyższą możliwą karę.”
Ostatnio kilku prawników również wyraziło krytyczne opinie i wskazało na możliwe dalsze konsekwencje:
Raphael Rohrmoser, partner w kancelarii AdvoAdvice Rechtsanwälte: „Odbyły się już niezliczone postępowania sądowe przeciwko SCHUFA dotyczące prawa dostępu i prawa do usunięcia danych. Teraz wyszło na jaw, że „usunięte” dane są w rzeczywistości nadal szeroko dostępne i że nikt nie został o tym poinformowany. Rodzi to kluczowe pytanie, czy informacje przekazywane przez SCHUFA w postępowaniach sądowych były zawsze zgodne z prawdą.”
Peter Hense, partner w kancelarii Spirit Legal Rechtsanwälte: „Jeśli agencja kredytowa przekazuje dane oznaczone jako »usunięte« stronom trzecim w zamian za wynagrodzenie, może to stanowić przestępstwo. Być może potrzebujemy prokuratury i sądów, aby w końcu osuszyć bagno danych SCHUFA”.
