Inchiesta di NDR e SZ: Schufa gestisce un "database ombra" con dati obsoleti sui consumatori

Secondo le inchieste di NDR e Süddeutsche Zeitung, l'azienda di Wiesbaden gestisce, accanto al suo database ufficiale, una seconda raccolta di "dati storici" relativi a operazioni di pagamento risalenti in parte a molto tempo fa e riguardanti milioni di persone. Tra questi figurano, presumibilmente, vecchi crediti e carte di credito, pignoramenti e insolvenze private, nonché debiti che gli interessati hanno spesso già saldato anni fa. Gli interessati non ne sono informati, e anche tra gli addetti ai lavori il "database ombra" era finora praticamente sconosciuto.

Il "database ombra"

La Schufa ha confermato che, oltre ai dati attuali dello score, detiene ulteriori dati di pagamento "storici". L'azienda ritiene lecita l'archiviazione supplementare di dati storici e si appella a disposizioni di legge. La Schufa sostiene di poter utilizzare i dati storici per le finalità indicate. "Questi valori sarebbero necessari per consolidare e verificare nuove procedure di calcolo del rischio, ad esempio presso le banche", ha spiegato l'azienda.

Questi dati sensibili vengono utilizzati dall'azienda per test, i cui risultati vengono trasmessi alle imprese, hanno riferito NDR e "Süddeutsche Zeitung" (SZ) mercoledì, facendo riferimento a un'inchiesta congiunta. La Schufa ha chiarito in proposito: "Il calcolo di uno score per un momento passato (arricchimento dello score) avviene esclusivamente all'interno dell'ambiente Schufa. Le imprese non hanno accesso autonomo ai dati Schufa."

Reazioni delle associazioni dei consumatori

La Schufa memorizza, all'insaputa del pubblico, dati obsoleti relativi a milioni di persone per un periodo significativamente più lungo di quanto si pensasse finora. Diversi esperti richiamano l'attenzione sui termini legali di cancellazione e sul principio di minimizzazione dei dati sancito dal GDPR, e criticano in particolare la trasmissione di vecchi score ai clienti aziendali – soprattutto a soggetti non bancari come fornitori di energia o operatori di telecomunicazioni.

Claudio Zeitz-Brandmeyer del Verbraucherzentrale Bundesverband (vzbv) ha espresso dubbi sul fatto che le imprese destinatarie utilizzino i dati effettivamente solo a fini di test. "[P]erché per le imprese che ricevono questi dati è molto allettante utilizzarli non solo a fini di test, ma anche effettivamente, ad esempio, per assumere decisioni in materia di credito", ha affermato.

Posizione della Schufa

La Schufa ha inoltre dichiarato: "I test comparativi si svolgono esclusivamente presso l'autorità di vigilanza bancaria Bafin, cosicché i dettagli dei dati non potrebbero essere trasmessi ai committenti." Vige inoltre quanto segue: "Il trattamento dei dati è strettamente limitato a finalità di test e controllo." La più grande centrale rischi privata della Germania calcola, tra l'altro, sulla base di questi dati quanto funzionino bene i nuovi score sviluppati.

Da marzo di quest'anno la Schufa ha avviato un nuovo metodo di calcolo basato su dodici criteri. Conta, ad esempio, l'anzianità del più vecchio contratto bancario e della più vecchia carta di credito, l'eventuale presenza di inadempimenti nei pagamenti e la situazione dei crediti. I consumatori possono consultare gratuitamente questi score.

L'esperto di protezione dei dati citato dalla Schufa, Tim Wybitul, ha respinto le accuse: "Le accuse contro la Schufa sono infondate. I dati devono essere cancellati quando non sono più necessari per le finalità del loro trattamento. Tuttavia, i test servono a verificare l'esattezza degli score. Si tratta di una finalità importante e legittima."

Verifica da parte delle autorità

Nel frattempo la questione è ora seguita anche dal Garante regionale della protezione dei dati dell'Assia. Egone sta attualmente chiarendo, nell'ambito di una procedura di segnalazione, se la Schufa debba informare i consumatori in merito all'archiviazione. Il Garante della protezione dei dati dell'Assia ha declinato di rilasciare dichiarazioni, richiamandosi al procedimento in corso.

In passato lo Schufa-Score è stato più volte criticato. I consumatori si sono lamentati di valutazioni negative che non riuscivano a spiegarsi o che si basavano su dati errati. Contro precedenti procedimenti di calcolo pendono ancora cause presso la Corte federale di giustizia (BGH).

La centrale rischi Schufa memorizza più dati finanziari sui consumatori e sulle consumatrici in Germania di quanti la maggior parte di loro possa immaginare. Il database ombra contiene, secondo quanto emerso, informazioni sensibili su vecchi contratti, debiti saldati e inadempimenti di pagamento ormai risolti da tempo, che possono influire sulla valutazione del merito creditizio.

Questioni giuridiche aperte

I reportage sollevano la questione di principio per quanto tempo una centrale rischi possa conservare dati personali e quali finalità possano giustificare tale conservazione. Gli esperti di protezione dei dati richiamano il principio di minimizzazione dei dati, in base al quale possono essere raccolti solo i dati – e nella misura – attuali e necessari per la rispettiva finalità.

NDR e Süddeutsche Zeitung definiscono nei loro reportage l'ulteriore raccolta di dati come "database ombra" e vi scorgono una prassi finora poco nota della più grande centrale rischi privata tedesca. La Schufa parla invece di "dati storici", necessari per finalità di test e controllo, e ne considera legittima la conservazione.

Il Verbraucherzentrale Bundesverband chiede un chiarimento trasparente su quali dati vengano trasmessi ai clienti aziendali, in quale forma, e se l'utilizzo resti effettivamente limitato a fini di test. I procedimenti in corso presso la Corte federale di giustizia e presso il Garante regionale della protezione dei dati dell'Assia potrebbero portare, nel medio periodo, a un chiarimento giurisprudenziale della situazione giuridica.

La centrale rischi sostiene, in base alle proprie indicazioni, di essere obbligata per legge a memorizzare determinati dati e si appella alle relative disposizioni. Se tale base giuridica comprenda anche l'archiviazione e il trattamento di operazioni di pagamento più risalenti e ormai concluse da tempo, è oggetto del dibattito in corso.

I consumatori possono consultare gratuitamente il proprio Schufa-Score e verificare quali informazioni siano memorizzate su di loro. Le autorità per la protezione dei dati raccomandano di richiedere periodicamente un'autocertificazione (Selbstauskunft), per poter individuare e far correggere eventuali errori o voci obsolete.