Usunięte tylko z nazwy. noyb idzie do sądu z SCHUFA o ukrytą bazę danych

W Niemczech trudno wziąć kredyt, podpisać umowę na telefon czy wynająć mieszkanie bez sprawdzenia w SCHUFA, największym biurze informacji kredytowej w kraju. Według niej sama firma ma dane o ponad 69 mln osób, czyli niemal całej dorosłej populacji Niemiec. Teraz SCHUFA stała się celem działań organizacji noyb, która zarzuca jej prowadzenie „bazy cieni”: zbioru danych formalnie usuniętych, a w praktyce nadal przetwarzanych.

Co ujawnili dziennikarze

W połowie lipca 2026 r. dziennikarze NDR i Süddeutsche Zeitung opisali, że SCHUFA przechowuje miliony rekordów, które powinny były zniknąć dawno temu. Według polityki prywatności firmy okresy przechowywania wynikają z kodeksów postępowania, które sama przyjęła. Na przykład informacje o windykacji czy spłaconych kredytach miały być usuwane trzy lata po spłacie.

Okazało się jednak, że „usunięte” znaczyło w praktyce „ukryte”. Dane znikały z widoku konsumentów, ale nie z systemów firmy. Co więcej, jak ustalono później, były wykorzystywane do celów testowych klientów SCHUFA, w tym do walidacji ocen kredytowych na rzecz podmiotów trzecich.

Prawo dostępu tylko do „interesujących” danych

Drugi zarzut dotyczy prawa dostępu z art. 15 RODO. SCHUFA przyznała, że osoby, które proszą o kopię swoich danych, nie dostają danych historycznych. Argumentowała, że ludzi interesuje tylko to, co obecnie wpływa na ich ocenę kredytową.

noyb uważa to rozumowanie za całkowicie bezpodstawne. Firma nie może sama decydować, które dane są dla osoby „ciekawe”, i ograniczać do nich odpowiedzi. Jak przypomina organizacja, Trybunał Sprawiedliwości UE jasno wskazał, że kopia danych ma być pełnym i wiernym odwzorowaniem wszystkich przetwarzanych danych.

Organizacja społeczna zamiast urzędu

Nadzór nad SCHUFA sprawuje heski organ ochrony danych (HBDI). Według noyb urząd wiedział o „bazie cieni” od wiosny 2025 r., ale nie podjął działań. Dlatego noyb, jako uprawniony podmiot kwalifikowany, który może działać w imieniu konsumentów, postanowił wejść do gry sam.

Przewodniczący noyb Max Schrems ocenia, że w Niemczech coraz wyraźniej widać niewydolność publicznych organów ochrony danych, dlatego organizacja non-profit musi działać prawnie w interesie publicznym. Prawnicy noyb mówią wprost, że przetwarzanie danych, które według samej firmy powinny być dawno usunięte, i zarabianie na nich to podręcznikowy przykład naruszenia przepisów.

Plan zakłada kilka kroków:

1. Wezwanie do zaprzestania naruszeń. 26 sierpnia 2026 r. noyb wysłał do SCHUFA pismo z żądaniem, by przestała przechowywać dane po upływie okresów przechowywania, udostępniała dane historyczne w odpowiedzi na żądania dostępu i zapewniła przejrzystość przetwarzania.
2. Pozew o zaniechanie. Termin na odpowiedź upłynął 10 września. SCHUFA publicznie odrzuciła zarzuty, a noyb zapowiedział, że skieruje sprawę do sądu.
3. Możliwy pozew zbiorowy. noyb uruchomił listę osób zainteresowanych dochodzeniem odszkodowania. Według organizacji co roku około 1,6 mln osób dostaje od SCHUFA niepełne odpowiedzi na żądania dostępu, a szkoda niemajątkowa w takich sprawach bywa szacowana na około 500 euro na osobę.

Sprawę krytykują też inne organizacje. Petycję AlgorithmWatch, domagającą się usunięcia „bazy cieni” i działań ze strony heskiego urzędu, podpisało blisko 145 tys. osób. Prawnicy zwracają uwagę, że sprawa może mieć skutki także dla wcześniejszych postępowań sądowych, w których SCHUFA wypowiadała się o swoich danych. Jeden z nich sugeruje nawet, że odpłatne przekazywanie danych oznaczonych jako usunięte może mieć znaczenie karne.

Czego uczy ta sprawa polskie firmy

Nie musisz prowadzić biura informacji kredytowej, żeby mieć podobny problem. W wielu systemach usunięcie rekordu oznacza tylko oznaczenie go flagą „usunięty”, a dane fizycznie zostają w bazie. Bywa to wygodne technicznie, ale z perspektywy RODO może oznaczać, że dane nadal są przetwarzane. Warto sprawdzić kilka obszarów:

• Usuwanie w systemach. Czy sklep, CRM i narzędzie do newslettera naprawdę kasują dane, czy tylko je ukrywają?
• Kopie zapasowe i archiwa. Czy masz zasady, jak długo trzymasz kopie i co dzieje się z danymi, które w międzyczasie powinny zniknąć?
• Dane testowe. Czy programiści albo dostawcy nie testują nowych funkcji na prawdziwych danych klientów, w tym na tych, które formalnie usunąłeś?
• Odpowiedzi na żądania dostępu. Czy przekazujesz pełny obraz, łącznie z danymi w archiwach i systemach pomocniczych, czy tylko to, co widać w panelu klienta?
• Okresy przechowywania. Czy to, co piszesz w polityce prywatności, zgadza się z tym, co faktycznie robią Twoje systemy?

Spójność dokumentów z praktyką

Najbardziej obciążające w tej sprawie jest zderzenie deklaracji z rzeczywistością. SCHUFA chwaliła się kampanią przejrzystości, a jednocześnie trzymała dane, o których klienci nie wiedzieli. To przestroga dla każdego, kto przygotowuje politykę prywatności: dokument musi opisywać to, co faktycznie się dzieje, a nie to, jak firma chciałaby być postrzegana. Dotyczy to także plików cookie. Jeśli w polityce piszesz, że narzędzia reklamowe działają dopiero po zgodzie, sprawdź w Skanerze zgody, czy Twoja strona rzeczywiście tak się zachowuje.

Źródło: noyb

noybSCHUFAprawo dostępuusuwanie danychpozew zbiorowy