« Base de données fantôme » : la SCHUFA refuse de céder à noyb, l'action en justice est certaine

Le 10 septembre 2026, noyb a annoncé que son action en injonction contre la SCHUFA était désormais certaine : l'agence d'information sur le crédit allemande, qui détient selon ses propres chiffres des données sur plus de 69 millions de personnes, n'a signé aucune des quatre déclarations de cessation réclamées. Le litige porte sur des données annoncées comme supprimées mais conservées, et sur ce que doit livrer un responsable de traitement saisi d'une demande d'accès. Aucune autorité de contrôle ni aucune juridiction n'a tranché à ce jour.

Ce qui s'est passé

À la mi-juillet 2026, des enquêtes de la NDR et de la Süddeutsche Zeitung révèlent que la SCHUFA conserve des millions d'enregistrements qui auraient dû être supprimés. Selon noyb, ces données serviraient aussi à des validations de score pour des clients de l'agence. La presse et l'association parlent d'une « base de données fantôme » ; la SCHUFA récuse le terme et parle d'une archive séparée du fichier de production.

Le 26 août, noyb, qui agit en qualité d'entité qualifiée agréée, adresse une mise en demeure à la SCHUFA : cesser de conserver les données au-delà des durées annoncées, communiquer les données historiques à qui exerce son droit d'accès, assurer la transparence sur ses pratiques. Une liste d'intérêt est ouverte pour un éventuel recours collectif.

Le délai a expiré le mercredi 9 septembre. La SCHUFA n'a signé aucune des quatre déclarations et a publié, le 10 septembre, une réponse reprenant les griefs point par point. Le même jour, noyb a indiqué qu'il déposerait une action en injonction. Max Schrems, président de l'association, juge les arguments de l'agence « tout à fait grotesques ».

Pourquoi c'est important

Le dossier se joue sur deux terrains familiers à tout DPO. Le premier est la durée de conservation. Selon la politique de confidentialité de la SCHUFA relayée par noyb, les créances en recouvrement et les données de prêts remboursés seraient effacées trois ans après le paiement. noyb soutient que ces données sont seulement masquées côté consommateur et restent traitées en arrière-plan. La question n'est donc pas de savoir si une donnée a disparu d'un écran, mais si elle a cessé d'être traitée.

Le second terrain est le droit d'accès. L'article 15 du RGPD ouvre droit à une copie des données traitées, et noyb rappelle que, selon la jurisprudence de la Cour de justice de l'Union européenne, cette copie doit être une reproduction complète et fidèle des données traitées. La SCHUFA répond qu'elle fournit la copie des données du fichier de production, dans un dispositif par étapes, et qu'elle traite les demandes portant sur les données historiques lorsqu'elles sont précisées.

La défense de la SCHUFA mérite d'être lue : elle sera celle de beaucoup d'organisations. Les données historiques lui serviraient à satisfaire des obligations légales, à rendre possible le contrôle des autorités, et à développer puis tester ses scores, ce qu'encadre le paragraphe 31 de la loi fédérale allemande sur la protection des données (BDSG). Elle ajoute que le BDSG ne fixe plus de durées depuis 2018, et que celles-ci résultent d'un code de conduite sectoriel convenu avec les autorités sur le fondement de l'article 40 du RGPD. Elle annonce enfin adapter sa copie de données au 20 novembre 2026, date à laquelle le nouveau paragraphe 37a du BDSG imposera d'y faire figurer les données historiques. Ce n'est pas le premier dossier du genre porté par noyb : l'association a déjà lancé une action collective contre l'agence autrichienne CRIF, et la Cour suprême autrichienne lui a donné raison sur la limitation des finalités.

Ce que ça change pour les organisations

• Vérifier que « supprimé » veut bien dire supprimé : là où une donnée sort de la vue des utilisateurs, s'assurer qu'elle n'est pas masquée par un champ d'état, et documenter la purge effective.
• Cartographier les bases secondaires : archives, sauvegardes, environnements de test et de recette, jeux d'entraînement de modèles. C'est là que se creuse l'écart avec la politique affichée.
• Revoir le périmètre des réponses aux demandes d'accès : la copie porte sur l'ensemble des données traitées, pas sur celles que le responsable juge utiles à la personne. Notre guide sur l'exercice du droit d'accès détaille le geste.
• Aligner le discours public et la pratique : politique de confidentialité, code de conduite et campagne de transparence engagent, et ce sont eux qu'on opposera à l'organisation.

Ce que Leto en pense

Le dossier n'est pas tranché : la SCHUFA conteste chacun des griefs, aucune autorité n'a statué, aucune sanction n'a été prononcée. Ce qu'il montre déjà vaut pour tous. L'écart entre la durée de conservation affichée et le sort réel de la donnée est l'angle mort le mieux partagé des programmes de conformité, et il ne se voit ni dans un registre ni dans une politique : il se voit dans les bases. Le jour où arrive une demande d'accès précise, c'est l'inventaire réel qui répond, pas le document. Le tenir à jour est un travail d'ops plus que de rédaction juridique : c'est ce que nous outillons chez Leto, et une démonstration suffit à en juger.

Sources

• noyb, « La SCHUFA s'obstine à maintenir sa base de données parallèle. Le recours en justice de noyb est désormais certain », 10 septembre 2026
• noyb, « Shadow database scandal: noyb sends SCHUFA cease-and-desist letter », 26 août 2026
• SCHUFA, « Historische Daten: So antwortet die SCHUFA auf NOYB », 10 septembre 2026