SCHUFA Holding AG, principale agenzia tedesca di informazioni creditizie, è accusata di avere conservato milioni di dati finanziari che gli interessati ritenevano cancellati e di averli utilizzati per produrre punteggi storici destinati alle imprese. L’archivio riguarderebbe informazioni appartenenti a 69 milioni di persone, mentre tra i clienti del servizio figurerebbero banche, operatori telefonici, fornitori di energia, retailer e società di pagamento.
L’organizzazione viennese noyb, acronimo di None of Your Business, ha inviato alla società una diffida formale, chiedendo di interrompere la conservazione dei dati oltre i termini di cancellazione pubblicati e di rendere accessibili agli utenti anche le informazioni storiche. In caso di mancato adeguamento, il gruppo intende chiedere un’ingiunzione giudiziaria e ha aperto una lista online per raccogliere l’interesse verso una possibile azione collettiva, potenzialmente estesa fino a 69 milioni di consumatori.
Il caso è emerso con le inchieste pubblicate il 15 luglio 2026 dall’emittente pubblica tedesca NDR e dalla Süddeutsche Zeitung. Accanto alla banca dati creditizia conosciuta, SCHUFA avrebbe mantenuto un secondo archivio contenente vecchi prestiti, carte di credito, pignoramenti salariali, insolvenze personali e debiti spesso saldati da anni. La società non si sarebbe limitata alla conservazione: su richiesta dei clienti calcolava quale sarebbe stato il punteggio di affidabilità creditizia di una persona in una specifica data del passato, fornendo il risultato per la validazione dei modelli.
Le banche devono sottoporre a test retrospettivi i nuovi sistemi di scoring prima del loro impiego, ma il servizio avrebbe raggiunto anche aziende delle telecomunicazioni, fornitori energetici, operatori dell’eCommerce, grandi retailer e prestatori di servizi di pagamento. Fra le decine di imprese contattate durante le indagini, soltanto tre società — una banca, un operatore dei pagamenti e un fornitore di energia — hanno confermato l’utilizzo dei dati storici. Le altre hanno fornito risposte evasive.
Nella replica del 24 luglio 2026, SCHUFA ha distinto tra il proprio archivio “produttivo”, impiegato per lo scoring attivo, e un archivio storico separato, mantenuto per conformità normativa, difesa legale, controllo della qualità dei punteggi e sviluppo dei modelli. La società sostiene che i dati siano conservati per un massimo di dieci anni e che le registrazioni relative alle richieste di credito vengano eliminate dopo cinque anni, una volta esaurita la finalità legale. I clienti esterni non avrebbero accesso diretto ai dati grezzi, ma soltanto ai punteggi derivati per il backtesting.
Proprio la distanza tra accesso ai dati grezzi e uso dei risultati derivati alimenta le contestazioni. Claudio Zeitz-Brandmeyer, della Federazione tedesca delle organizzazioni dei consumatori, ha osservato che le imprese potrebbero essere tentate di usare le informazioni non soltanto nei test, ma anche nelle decisioni effettive sul credito. Ruth Janal, docente dell’Università di Bayreuth, ha sottolineato che i punteggi storici rivelano la precedente situazione finanziaria di una persona, un’informazione che non riguarda i partner commerciali di SCHUFA.
Il confronto ruota ora attorno al significato giuridico di cancellazione. Il codice di condotta richiamato nell’informativa di SCHUFA prevede, per i crediti recuperati e i prestiti estinti, la rimozione dopo tre anni dal pagamento. Secondo noyb, invece, le registrazioni sparirebbero dalla vista del consumatore continuando a essere elaborate internamente, in contrasto con il principio di limitazione della conservazione previsto dall’articolo 5 del GDPR. L’organizzazione richiama inoltre l’articolo 15, che riconosce il diritto a ricevere una copia completa dei dati personali detenuti. SCHUFA nega ogni illecito, afferma che eliminare l’archivio danneggerebbe consumatori ed economia e annuncia che difenderà in tribunale le proprie pratiche di conservazione.