Em meados de julho, investigações realizadas pela NDR e pelo SZ revelaram que a agência de informação de crédito SCHUFA armazena milhões de registos de dados que já deviam ter sido eliminados há muito tempo. Desde então, tornou-se claro que a SCHUFA também utiliza estes dados para «fins de teste» dos seus clientes. Potencialmente, todas as 69 milhões de pessoas sobre as quais a SCHUFA detém dados estão afetadas. E a SCHUFA continua a fazer obstrução: mesmo em resposta a pedidos de acesso ao abrigo do artigo 15.º do RGPD, a empresa recusa-se a divulgar estes dados históricos. Tendo em conta as evidentes violações do RGPD, a noyb emitiu agora uma advertência formal à agência de informação de crédito e anunciou uma ação inibitória. Os titulares de dados cujos dados históricos tenham sido retidos pela SCHUFA também podem manifestar o seu interesse numa futura ação coletiva por danos.
- Investigações da NDR e do SZ: «A «base de dados paralela» da Schufa»
- Resposta da SCHUFA: «A verdade sobre a alegada ‘base de dados paralela’»
- Resposta do advogado da SCHUFA Tim Wybitul no LinkedIn
- Petição da Algorithm Watch: «Escândalo da SCHUFA: Apaguem imediatamente a base de dados oculta!”
A SCHUFA e a sua promessa de transparência. NaAlemanha, é praticamente impossível contornar a SCHUFA. Quem quiser um empréstimo, um contrato de telemóvel ou alugar um apartamento tem de contar com que esta poderosa agência de informação de crédito confirme que possui uma notação de crédito suficiente. No entanto, a forma como a SCHUFA calcula as suas pontuações de crédito sempre foi uma «caixa negra» — e, como resultado, tem sido regularmente alvo de críticas e processos judiciais, chegando até ao Tribunal de Justiça Europeu. Recentemente, a SCHUFA lançou uma «campanha de transparência» e, desde então, tem-se gabado de ter criado «total transparência».
Uma cave cheia de dados «eliminados». De acordo com a política de privacidade da SCHUFA, o período de conservação dos dados utilizados para calcular a pontuação de crédito deve também ser determinado por códigos de conduta autoimpostos. As reclamações de cobrança de dívidas ou os dados relativos a empréstimos liquidados, por exemplo, seriam eliminados três anos após o pagamento. No entanto, «eliminado» significa aparentemente algo bastante diferente para a SCHUFA do que significa ao abrigo do RGPD — e para o público em geral: os dados estão, aparentemente, apenas «ocultados» e, como tal, desaparecem da vista dos consumidores, mas não dos sistemas da SCHUFA. Muito pelo contrário: os dados continuam a ser tratados nos bastidores e são até utilizados para «validações da pontuação de crédito» de terceiros.
Martin Baumann, advogado especializado em proteção de dados na noyb: «A «base de dados-sombra» da SCHUFA é um exemplo clássico de tratamento ilegal de dados. A SCHUFA trata secretamente dados que, segundo as suas próprias declarações, já deviam ter sido apagados há muito tempo e, em última análise, lucra com isso.»
Direito de acesso categoricamente negado. A SCHUFA revela-se totalmente inconsistente no que diz respeito ao direito de acesso: por um lado, a SCHUFA afirma que a «base de dados paralela», até então desconhecida, é totalmente transparente. Por outro lado, admite que os titulares dos dados não recebem uma cópia dos dados históricos ainda armazenados quando apresentam um pedido de acesso ao abrigo do artigo 15.º do RGPD. Essencialmente, a SCHUFA argumenta que os titulares dos dados estão apenas interessados em saber quais os dados que são atualmente tidos em conta na sua pontuação. Os dados armazenados secretamente não precisam, portanto, de ser divulgados. Do ponto de vista jurídico, trata-se de um raciocínio completamente absurdo. Uma empresa não pode simplesmente limitar a sua obrigação de fornecer informações aos dados que ela própria considera «de interesse» para os titulares dos dados. O Tribunal de Justiça da União Europeia deixou isso claro há muito tempo: uma cópia dos dados deve ser uma reprodução completa e fiel de todos os dados tratados.
Marco Blocher, advogado especializado em proteção de dados na noyb: «É claramente ilegal que a SCHUFA armazene dados que supostamente foram “apagados” numa “base de dados paralela”, mas não os divulgue. A SCHUFA está aqui a violar flagrantemente a lei – e os responsáveis da SCHUFA estão provavelmente bem cientes disso.»
A autoridade de supervisão de Hesse permanece inativa. Em teoria, a Autoridade de Proteção de Dados de Hesse (HBDI) deveria supervisionar a SCHUFA. Na verdade, a autoridade de supervisão parece estar a par da existência da «base de dados paralela» desde a primavera de 2025. No entanto, a autoridade (notoriamente inativa) parece continuar a proteger a SCHUFA. Na qualidade de entidade qualificada aprovada pelo Estado Entidade Qualificada, a noyb tomou, por isso, medidas para proteger os consumidores da acumulação desenfreada de dados e do secretismo da SCHUFA. A conformidade com o RGPD vai agora ser restabelecida em várias etapas:
Passo 1: Carta de cessação e desistência e medida cautelar: A noyb enviou hoje uma carta de cessação e desistência à SCHUFA. Com ela, a noyb solicita que a agência de informação de crédito deixe de armazenar dados para além dos períodos de retenção especificados. Além disso, a noyb solicita que a SCHUFA forneça aos indivíduos afetados os dados históricos no âmbito dos seus pedidos de acesso e garanta transparência no que diz respeito às suas práticas de tratamento de dados. Caso a agência de informação de crédito se recuse a cumprir estes pedidos, a noyb interporá uma ação de injunção para que as práticas ilegais da SCHUFA sejam proibidas pelos tribunais.
Max Schrems, presidente da noyb, afirmou: «Infelizmente, assistimos cada vez mais a uma falha das autoridades públicas de proteção de dados na Alemanha. Por isso, temos de intentar uma ação judicial enquanto organização sem fins lucrativos que atua no interesse público.»
Possível passo 2: Ação coletiva:Os titularesde dadoscujos dados estão (ou estiveram) armazenados na «base de dados paralela» e que tenham enviado um pedido de acesso ao abrigo do artigo 15.º do RGPD à SCHUFA nos últimos anos podem ter sofrido danos não patrimoniais. De acordo com a sua própria informação, a SCHUFA armazena dados sobre mais de 69 milhões de pessoas – o que corresponde a quase toda a população adulta da Alemanha. Ao que tudo indica, 1,6 milhões de pessoas por ano receberam respostas incorretas aos seus pedidos de acesso: os dados históricos não foram fornecidos a ninguém. Normalmente, os danos morais podem ser estimados em cerca de 500 € por pessoa.
Uma ação coletiva requer uma preparação significativamente maior do que uma medida cautelar. No entanto, a noyb já criou uma lista de interessados online. Qualquer pessoa pode inscrever-se aqui para ser informada posteriormente, caso venha a ser intentada uma ação judicial. Como organização financiada por donativos, a noyb intenta ações judiciais exclusivamente no interesse das pessoas afetadas.
Max Schrems, presidente da noyb, afirmou: «A SCHUFA não só infringiu a lei, como mentiu e prejudicou as pessoas afetadas. Pretendemos reclamar uma indemnização por estes danos, sem fins lucrativos.»
Uma ampla frente da sociedade civil. OutrasONG e especialistas em proteção de dados também estão a criticar veementemente a SCHUFA e a exigir que a «base de dados paralela» seja eliminada. A ONG AlgorithmWatch lançou uma petição contra a SCHUFA e a autoridade de proteção de dados de Hesse, que não tomou medidas. Disponibiliza ainda um formulário que permite às pessoas afetadas solicitarem à SCHUFA informações específicas sobre os seus dados históricos.
Matthias Spielkamp, da AlgorithmWatch: «Nós e os cerca de 145 000 signatários da nossa petição exigimos que: a SCHUFA forneça informações completas às pessoas afetadas; a Autoridade de Proteção de Dados de Hesse tome finalmente medidas e obrigue a SCHUFA a eliminar definitivamente a «base de dados paralela», bem como a aplicar a multa máxima possível.»
Mais recentemente, vários advogados também expressaram opiniões críticas e apontaram possíveis consequências adicionais:
Raphael Rohrmoser, sócio da AdvoAdvice Rechtsanwälte: «Já houve inúmeros processos judiciais contra a SCHUFA relativos ao direito de acesso e ao direito ao apagamento. Verificou-se agora que os dados «apagados» continuam, na verdade, amplamente disponíveis e que ninguém foi informado. Isto levanta a questão fundamental de saber se as informações fornecidas pela SCHUFA nos processos judiciais foram sempre precisas.»
Peter Hense, sócio da Spirit Legal Rechtsanwälte: «Se uma agência de crédito transmitir dados rotulados como “apagados” a terceiros em troca de pagamento, tal pode constituir um crime. Talvez seja necessário que o Ministério Público e os tribunais drénem finalmente o pântano de dados da SCHUFA.»