Enquête du NDR et du SZ : Schufa entretient une « base de données fantôme » avec des données de consommateurs obsolètes

Selon les recherches du NDR et de la Süddeutsche Zeitung, l'entreprise gère à Wiesbaden, en plus de sa base de données officielle, une seconde collection de « données historiques » portant sur des opérations de paiement remontant parfois à loin dans le temps et concernant des millions de personnes. Figurent notamment, selon toute vraisemblance, d'anciens crédits et cartes de crédit, des saisies et des insolvabilités privées, ainsi que des dettes que les personnes concernées ont souvent remboursées il y a déjà des années. Les personnes concernées n'en savent rien, et même dans le monde spécialisé, la « base de données fantôme » était jusqu'à présent pratiquement inconnue.

La « base de données fantôme »

La Schufa a confirmé qu'elle conserve, en plus des données de score actuelles, d'autres données de paiement « historiques ». Le stockage supplémentaire de données historiques est jugé légal par l'entreprise, qui invoque des dispositions légales. La Schufa considère qu'elle est en droit d'utiliser les données historiques aux fins mentionnées. « Ces valeurs seraient nécessaires pour valider et vérifier de nouvelles procédures de calcul des risques, par exemple auprès des banques », a expliqué l'entreprise.

Ces données sensibles sont utilisées par l'entreprise pour des tests dont elle transmet les résultats à des entreprises, ont rapporté mercredi le NDR et la « Süddeutsche Zeitung » (SZ), en s'appuyant sur une enquête commune. La Schufa a déclaré à ce sujet : « Le calcul d'un score pour une date passée (enrichissement du score) s'effectue exclusivement dans l'environnement de la Schufa. Les entreprises n'ont pas d'accès autonome aux données de la Schufa. »

Réactions des associations de consommateurs

La Schufa stocke, à l'insu du public, des données obsolètes concernant des millions de personnes nettement plus longtemps qu'on ne le pensait jusqu'ici. Plusieurs experts rappellent les délais légaux de suppression et le principe d'économie des données inscrit dans le RGPD, et critiquent notamment la transmission d'anciens scores à des clients entreprises – en particulier des non-banques comme des fournisseurs d'énergie ou des opérateurs de télécommunications.

Claudio Zeitz-Brandmeyer de la Fédération allemande des associations de consommateurs (vzbv) a exprimé des doutes sur le fait que les entreprises destinataires utilisent effectivement ces données uniquement à des fins de test. « [P]arce qu'il est très tentant pour les entreprises qui reçoivent ces données de ne pas les utiliser uniquement à des fins de test, mais aussi de les exploiter concrètement, par exemple pour des décisions de crédit », a-t-il déclaré.

Prise de position de la Schufa

La Schufa a en outre déclaré : « Les tests comparatifs ont lieu exclusivement auprès de l'autorité de surveillance bancaire Bafin, de sorte que les détails des données ne pourraient pas être transmis aux donneurs d'ordre. » En outre : « Le traitement des données est strictement limité à des fins de test et de contrôle. » La plus grande agence de renseignements commerciaux d'Allemagne calcule notamment à partir de ces données la qualité de fonctionnement des scores nouvellement développés.

Depuis mars de cette année, la Schufa a lancé une nouvelle méthode de calcul comportant douze critères. Entrent en compte, par exemple, l'âge du plus ancien contrat bancaire et de la plus ancienne carte de crédit, l'existence éventuelle d'incidents de paiement et le statut des crédits. Les consommateurs peuvent consulter ces scores gratuitement.

L'expert en protection des données cité par la Schufa, Tim Wybitul, a rejeté les accusations : « Die Vorwürfe gegen die Schufa treffen nicht zu. Daten sind zu löschen, wenn sie für die Zwecke ihrer Verarbeitung nicht mehr benötigt werden. Allerdings dienen die Tests der Überprüfung der Richtigkeit der Scores. Das ist ein wichtiger und legitimer Zweck. »

Examen par les autorités

Le délégué hessois à la protection des données s'occupe désormais également de l'affaire. Il examine actuellement, dans le cadre d'une procédure de signalement, si la Schufa doit informer les consommateurs de ce stockage. Le délégué hessois à la protection des données a refusé de commenter en invoquant la procédure en cours.

Par le passé, le score Schufa a fait l'objet de critiques répétées. Des consommateurs se sont plaints de mauvaises évaluations qu'ils ne pouvaient pas s'expliquer ou qui reposaient sur des données erronées. Des procédures contre d'anciennes méthodes de calcul sont encore pendantes devant la Cour fédérale de justice.

L'agence de renseignements commerciaux Schufa stocke davantage de données financières sur les consommateurs et consommatrices en Allemagne que la plupart ne pourraient le supposer. La base de données fantôme contient, selon ces informations, des données sensibles sur d'anciens contrats, des dettes remboursées et des défauts de paiement depuis longtemps réglés, qui peuvent influer sur l'évaluation de la solvabilité.

Questions juridiques en suspens

Les rapports soulèvent la question de principe de la durée pendant laquelle une agence de renseignements commerciaux peut conserver des données à caractère personnel et des finalités pouvant justifier un tel stockage. Les experts en protection des données renvoient au principe de minimisation des données, selon lequel seules les données nécessaires et aussi actuelles que possible peuvent être collectées pour la finalité respective.

Le NDR et la Süddeutsche Zeitung qualifient la collecte supplémentaire de données, dans leurs articles, de « base de données fantôme » et y voient une pratique jusqu'alors largement méconnue de la plus grande agence de renseignements commerciale allemande. La Schufa parle elle-même de « données historiques », nécessaires à des fins de test et de contrôle, et juge leur stockage licite.

La Fédération allemande des associations de consommateurs exige des éclaircissements clairs sur les données transmises, sous quelle forme, à des clients entreprises et si l'utilisation reste effectivement limitée à des fins de test. Les procédures en cours devant la Cour fédérale de justice et auprès du délégué hessois à la protection des données pourraient, à moyen terme, aboutir à une clarification judiciaire de la situation juridique.

L'agence de renseignements commerciaux indique être légalement tenue de stocker certaines données et invoque les dispositions correspondantes. La question de savoir si cette base juridique couvre également le stockage et le traitement d'opérations de paiement plus anciennes, achevées depuis longtemps, fait l'objet de la discussion en cours.

Les consommateurs peuvent consulter gratuitement leur score Schufa et vérifier quelles informations sont stockées à leur sujet. Les autorités de protection des données recommandent de demander régulièrement un extrait de renseignements personnel afin de pouvoir identifier et faire corriger d'éventuelles erreurs ou inscriptions obsolètes.