SCHUFA, RGPD y scoring crediticio: límites a la conservación de datos y lecciones para el gobierno de modelos

Conservación de datos históricos, scoring crediticio y responsabilidad proactiva bajo el RGPD

(Artículo dirigido, revisado y validado por Leocadio Marrero Trujillo, autor y responsable editorial. Se utilizaron herramientas de IA generativa como apoyo a la edición y al diseño gráfico).

Resumen

La controversia surgida en Alemania en torno al archivo de datos históricos mantenido por SCHUFA constituye un caso especialmente relevante para analizar la convergencia entre protección de datos, gobierno de la información, riesgo de modelo, cumplimiento normativo y responsabilidad organizativa. El debate público ha recurrido a la expresión alemana Schattendatenbank —«base de datos en la sombra»— para describir dicho repositorio; conviene advertir, sin embargo, que esta denominación no constituye una categoría jurídica ni una calificación regulatoria de ilicitud, sino una expresión utilizada en la investigación periodística y posteriormente asumida por organizaciones críticas con el tratamiento.

La cuestión jurídica y organizativa que plantea el caso es más compleja: determinar bajo qué condiciones una organización puede continuar conservando y tratando información personal que ha dejado de utilizarse para determinadas finalidades productivas, pero conserva valor para desarrollar, probar, comparar, validar o supervisar modelos de scoring. Ello exige examinar conjuntamente los principios de limitación de la finalidad, minimización y limitación del plazo de conservación del Reglamento (UE) 2016/679 —RGPD—, la licitud del tratamiento ulterior, el interés legítimo, los derechos de acceso, oposición y supresión, las decisiones automatizadas, la protección de datos desde el diseño y las exigencias de responsabilidad proactiva.

El estudio analiza los asuntos acumulados C-26/22 y C-64/22 y el asunto C-634/21, resueltos por el Tribunal de Justicia de la Unión Europea el 7 de diciembre de 2023; las sentencias C-487/21 y C-203/22 sobre acceso y explicación de tratamientos automatizados; las reglas de conservación aplicables a las agencias alemanas de información crediticia aprobadas en 2024; la jurisprudencia alemana posterior sobre deudas satisfechas y, como proyección hacia el gobierno algorítmico, el Dictamen 28/2024 del Comité Europeo de Protección de Datos y el Reglamento (UE) 2024/1689 de Inteligencia Artificial.

A partir de estas fuentes se proponen siete enseñanzas desde una perspectiva integrada de Gobierno, Riesgo y Cumplimiento —GRC—. La tesis sostenida es que la conservación de datos históricos destinados a probar y validar modelos no puede gestionarse únicamente como un problema de data retention: exige una decisión de gobierno en la que convergen privacidad, gobierno del dato, riesgo de modelo, transparencia, seguridad, derechos de los interesados y assurance.

Palabras clave: SCHUFA; RGPD; credit scoring; conservación de datos; minimización; derecho de acceso; decisiones automatizadas; gobierno de modelos; Data Governance; GRC; inteligencia artificial.

1. Metodología y delimitación del estudio

El presente trabajo adopta una metodología jurídico-doctrinal complementada con el análisis del caso SCHUFA como caso de estudio GRC. Se distinguen cuatro niveles de fuentes: normativa aplicable; jurisprudencia del Tribunal de Justicia de la Unión Europea y, complementariamente, de los tribunales alemanes; documentación de autoridades de protección de datos y códigos de conducta aprobados conforme al RGPD; y fuentes destinadas a reconstruir los hechos y las posiciones de las partes en la controversia actual.

Las investigaciones de NDR y Süddeutsche Zeitung se utilizan para reconstruir los hechos que hicieron público el asunto en julio de 2026. Las declaraciones de SCHUFA y noyb se presentan como posiciones de las respectivas partes, no como conclusiones jurídicas asumidas por el estudio. Del mismo modo, cuando se menciona al Hessischer Beauftragte für Datenschutz und Informationsfreiheit —HBDI— se diferencia entre sus decisiones formalmente adoptadas y aquellas cuestiones que, de acuerdo con las fuentes disponibles, continúan sometidas a examen.

Las siete lecciones GRC desarrolladas posteriormente constituyen una elaboración analítica propia. No se atribuyen al TJUE, al HBDI ni al Código de Conducta, sino que pretenden extraer del caso criterios de gobierno susceptibles de aplicación en otras organizaciones que utilicen datos personales históricos dentro de modelos predictivos, sistemas de scoring o procesos de validación algorítmica.

La fecha de cierre del análisis es el 27 de agosto de 2026. Esta delimitación temporal resulta relevante porque el día anterior noyb hizo público el envío de un requerimiento formal a SCHUFA y anunció posteriores actuaciones judiciales. En las fuentes públicas consultadas hasta esa fecha no se ha identificado constancia pública de la presentación de la eventual acción colectiva indemnizatoria anunciada por la organización.

I. EL CASO Y SU CONTEXTO JURÍDICO

2. El origen de la controversia: información que había dejado de utilizarse ordinariamente, pero continuaba siendo tratada

El 15 de julio de 2026, una investigación conjunta de NDR y Süddeutsche Zeitung informó de que SCHUFA mantenía un archivo histórico con información correspondiente a millones de personas, incluyendo antiguos créditos, tarjetas, embargos, insolvencias y deudas satisfechas. Según aquella investigación, una parte de esos datos había dejado de intervenir en el funcionamiento productivo ordinario asociado a la evaluación actual de solvencia, pero continuaba disponible para otros tratamientos, particularmente relacionados con procesos de prueba y validación de modelos.

Desde una perspectiva técnica, la conservación de historia en un sistema de scoring no resulta difícil de explicar. Un modelo destinado a estimar probabilidades futuras necesita ser sometido a validación retrospectiva. El backtesting permite reconstruir qué resultado habría producido el modelo en un momento anterior y contrastarlo posteriormente con los hechos realmente observados; una determinada profundidad histórica puede, por tanto, contribuir a estudiar discriminación, estabilidad, capacidad predictiva o degradación del modelo.

SCHUFA ha defendido precisamente esta lógica. La empresa sostiene que la conservación y tratamiento posterior de determinada información histórica responde, entre otros objetivos, a la necesidad de comprobar la calidad de sus scores, desarrollar modelos y verificar su capacidad predictiva. La cuestión jurídica comienza, sin embargo, allí donde termina esa explicación estadística: que un conjunto de datos resulte útil para validar un modelo no permite concluir automáticamente que resulte necesario conservar todos los registros, durante toda la profundidad temporal disponible y manteniendo su vinculación con personas identificadas o identificables.

La investigación periodística también puso de manifiesto que el HBDI venía examinando desde la primavera de 2025 la base jurídica de determinados tratamientos de prueba con estos datos y la cuestión de si la información histórica debía formar parte de las respuestas facilitadas a los interesados en virtud del artículo 15 RGPD. De acuerdo con la respuesta proporcionada a NDR, ese análisis no había concluido cuando el caso alcanzó notoriedad pública.

El 26 de agosto de 2026, noyb remitió formalmente un requerimiento a SCHUFA mediante el que solicitó, entre otras medidas, que cesara la conservación que considera superior a los plazos aplicables, que proporcionara los datos históricos en el contexto de las solicitudes de acceso y que aumentara la transparencia del tratamiento. La organización anunció asimismo una posible acción de cesación y, separadamente, su intención de preparar una acción colectiva indemnizatoria.

El estado actual del asunto exige, por consiguiente, cautela. Existe una controversia jurídicamente relevante, una actuación supervisora previa, una iniciativa precontenciosa de noyb y una defensa expresa por SCHUFA de la licitud y necesidad de los tratamientos. No existe todavía, sin embargo, una resolución que declare ilícito en su conjunto el archivo histórico actualmente cuestionado.

Figura 1 (IA). Mapa del caso SCHUFA: principales hitos fácticos, jurisprudenciales y regulatorios.

3. La primera distinción necesaria: dejar de utilizar un dato no equivale a dejar de tratarlo

El punto de partida normativo se encuentra en el artículo 4.2 RGPD, cuya definición de «tratamiento» incluye expresamente, entre otras operaciones, la recogida, registro, organización, consulta, utilización, comunicación, limitación, supresión, destrucción y conservación de datos personales.

Esta definición impide identificar jurídicamente el fin del uso productivo con la desaparición del tratamiento. Un registro puede dejar de intervenir en el cálculo ordinario de un score y continuar siendo objeto de tratamiento si permanece almacenado en un archivo histórico, un repositorio analítico, un entorno de prueba o cualquier otra infraestructura en la que siga vinculado a una persona identificada o identificable.

El principio de limitación del plazo de conservación del artículo 5.1.e) RGPD exige mantener los datos de forma que permita identificar a los interesados durante no más tiempo del necesario para los fines correspondientes. La regla debe leerse conjuntamente con el artículo 5.1.b), relativo a la limitación de la finalidad; el artículo 5.1.c), que consagra la minimización; y el artículo 5.2, que impone al responsable no solamente cumplir estos principios, sino poder demostrar dicho cumplimiento.

La cuestión adquiere una dimensión adicional cuando la finalidad evoluciona. Si información inicialmente utilizada para evaluar solvencia comienza posteriormente a conservarse para probar o validar modelos, deberá determinarse si continúa operando la misma finalidad, si existe una finalidad compatible o si nos encontramos ante un tratamiento ulterior distinto.

El artículo 6.4 RGPD proporciona los elementos para efectuar esa evaluación cuando el tratamiento ulterior no se basa en el consentimiento ni en una disposición específica del Derecho de la Unión o de los Estados miembros. Deben considerarse, entre otros factores, la relación entre las finalidades inicial y ulterior, el contexto de recogida, la naturaleza de los datos, las posibles consecuencias para los interesados y la existencia de garantías adecuadas.

A ello se añaden los artículos 13.3 y 14.4 RGPD, conforme a los cuales, cuando el responsable proyecte tratar posteriormente los datos para una finalidad distinta, deberá facilitar al interesado información sobre esa finalidad antes de comenzar el tratamiento ulterior.

Cuando la base jurídica invocada sea el interés legítimo del artículo 6.1.f), tampoco basta con identificar un interés empresarial razonable. La estructura consolidada en la jurisprudencia europea exige comprobar sucesivamente la existencia de un interés legítimo, la necesidad del tratamiento para alcanzarlo y la ponderación de ese interés frente a los intereses, derechos y libertades fundamentales de los afectados.

La diferencia conceptual es decisiva: demostrar que determinados datos mejoran un modelo no equivale todavía a demostrar que resulta necesario conservarlos en esas condiciones.

4. C-26/22 y C-64/22: una doctrina sobre conservación cuya extrapolación exige cautela

Los asuntos acumulados C-26/22 y C-64/22, UF y AB contra Land Hessen, resueltos por la Sala Primera del TJUE el 7 de diciembre de 2023, ECLI:EU:C:2023:958, constituyen el antecedente europeo más evidente del conflicto actual. Ambos procedimientos se referían específicamente a la conservación por SCHUFA de información relativa a la concesión de una Restschuldbefreiung —exoneración del pasivo insatisfecho— obtenida del registro público alemán de insolvencias.¹

La delimitación material es fundamental. Las sentencias no analizaban todas las categorías de información crediticia ni resolvían con carácter general la licitud de cualquier archivo histórico. El Tribunal examinó una información específica cuya publicación oficial se encontraba sometida a un periodo temporal determinado y cuya conservación privada podía producir efectos especialmente relevantes para la recuperación económica del interesado.

El marco alemán descansaba, entre otras disposiciones, en los §§ 9 y 300 de la Insolvenzordnung —InsO— y en el § 3 de la Insolvenzbekanntmachungsverordnung —InsBekV—. La información relativa a la exoneración permanecía públicamente accesible durante seis meses, mientras que la práctica privada discutida contemplaba una conservación considerablemente superior.

El TJUE examinó el tratamiento a la luz, entre otros preceptos, de los artículos 5.1.a), 6.1.f), 17.1.c), 17.1.d) y 21.1 RGPD, interpretados conjuntamente con los artículos 7 y 8 de la Carta de los Derechos Fundamentales. En los apartados 94 y 95 destacó la intensidad de la afectación y la importancia que adquiere el tiempo en la ponderación de derechos.

En relación específicamente con la información relativa a la exoneración examinada en aquellos litigios, el Tribunal concluyó que los intereses de la industria crediticia:

«no pueden justificar […] más allá del plazo de conservación»

el tratamiento privado de aquellos datos una vez desaparecidos del registro público.²

La conservación posterior no podía, en las circunstancias del caso, justificarse mediante el artículo 6.1.f) RGPD. Respecto del periodo durante el que la misma información continuaba siendo pública, sin embargo, el apartado 100 no declaró automáticamente ilícita la conservación paralela por SCHUFA, sino que exigió comprobar si estaba limitada a lo estrictamente necesario.

Este matiz debe conservarse en cualquier análisis académico. C-26/22 y C-64/22 no establecen que todo dato histórico deba desaparecer cuando deja de ser actual, ni que todos los datos tratados por una agencia de información crediticia estén sometidos a un único plazo. Su verdadera relevancia radica en la metodología de ponderación: categoría de información, finalidad, consecuencias para el interesado, tiempo transcurrido, procedencia del dato y posibilidad de alcanzar el objetivo mediante medios menos intrusivos.

La jurisprudencia alemana posterior confirma la necesidad de evitar generalizaciones. El Bundesgerichtshof —BGH—, mediante sentencia de 18 de diciembre de 2025, asunto I ZR 97/25, declaró que los datos sobre perturbaciones de pago comunicados por los socios contractuales de una agencia de información crediticia no tienen que ser eliminados inmediatamente después del pago de la deuda. La categoría de información y el contexto jurídico eran distintos de los examinados por el TJUE respecto de la exoneración del pasivo. La fuente oficial del BGH identifica expresamente la sentencia y resume su conclusión en esos términos.³

La consecuencia metodológica es más importante que cualquier aparente contradicción entre decisiones: el análisis de conservación debe realizarse por categoría de datos, operación de tratamiento, finalidad, periodo, contexto y efectos sobre la persona, y no mediante una regla temporal universal.

5. El Código de Conducta de 2024: un plazo sectorial no constituye una base jurídica

Las Verhaltensregeln für die Prüf- und Speicherfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien constituyen una pieza esencial para comprender la arquitectura posterior a las sentencias de 2023.

El HBDI aprobó formalmente las nuevas reglas el 24 de mayo de 2024. El registro oficial de la autoridad las identifica como reglas «de 25 de mayo de 2024». La resolución incorporó, además, periodos transitorios para determinadas obligaciones: dos comenzaron a aplicarse el 1 de octubre de 2024 y otra el 1 de enero de 2025, debido a la necesidad de realizar adaptaciones técnicas y organizativas.⁴

La autoridad explica expresamente que el Código se refiere a los plazos de revisión y conservación de datos personales lícitamente almacenados y que no sustituye al RGPD ni determina si la conservación de una concreta categoría de datos está jurídicamente justificada.

Esta distinción aparece también en el propio apartado II del Código, que contiene una formulación especialmente significativa:

«Die Festlegung von Prüf- und Speicherfristen indiziert auch nicht die Rechtmäßigkeit deren Speicherung.»

En traducción propia: la fijación de plazos de revisión y conservación tampoco permite presumir la licitud de la conservación.

La consecuencia dogmática resulta clara. El Código puede concretar la aplicación sectorial del RGPD y constituir un elemento de responsabilidad proactiva y de evidencia de cumplimiento conforme a los artículos 24.3 y 40 RGPD, pero no sustituye la necesidad de disponer de una finalidad legítima, una base jurídica válida y un tratamiento necesario y proporcionado.

El artículo 24.3 RGPD permite expresamente que la adhesión a códigos de conducta aprobados conforme al artículo 40 o a mecanismos de certificación del artículo 42 sea utilizada como elemento para demostrar el cumplimiento de las obligaciones del responsable. Esta función probatoria debe distinguirse de la licitud material del tratamiento: el código ayuda a demostrar cómo se organiza y ejecuta el cumplimiento, pero no transforma en lícito un tratamiento que no supera los artículos 5 y 6 RGPD.

5.1. El significado de Speicherfrist

El apartado III.7 contiene uno de los pasajes más relevantes para analizar el conflicto actual. Una vez finalizado el periodo correspondiente, el Código señala que los datos dejan de estar disponibles:

«nicht mehr zur produktiven Verarbeitung»

es decir, para el tratamiento productivo, especialmente para scoring y para proporcionar información a terceros.

El mismo apartado admite, sin embargo, que determinados datos permanezcan durante más tiempo para finalidades internas mientras continúe existiendo la correspondiente finalidad y exige que dicha separación se garantice mediante medidas técnicas y organizativas adecuadas.

La enumeración utiliza la abreviatura «z.B.» —zum Beispiel, «por ejemplo»— antes de mencionar facturación, control de protección de datos, copias de seguridad, defensa jurídica y cumplimiento de obligaciones legales de conservación. No se trata, por tanto, de una lista cerrada.

Ese carácter abierto exige evitar dos interpretaciones opuestas. No puede afirmarse que cualquier finalidad interna no mencionada expresamente resulte prohibida por el Código, pero tampoco puede sostenerse que cualquier nueva finalidad interna quede legitimada por el mero hecho de desarrollarse fuera del entorno productivo. Si los datos continúan siendo personales, una utilización para desarrollo, testing o validación seguirá necesitando su propia justificación conforme al RGPD.

La regla de gobierno puede formularse de manera sintética: salir de producción no equivale a salir del RGPD.

Figura 2 (IA). Ciclo de vida del dato histórico y controles jurídicos desde su recogida hasta su salida definitiva.

5.2. Plazos diferenciados

El apartado IV.1.a) establece, con carácter general, tres años para datos personales relativos a fällige, offene und unbestrittene Forderungen, esto es, deudas o créditos pecuniarios vencidos, pendientes y no controvertidos.

El apartado IV.1.b) contempla también, en principio, tres años para las deudas satisfechas, pero reduce la duración a dieciocho meses cuando concurren acumulativamente las condiciones previstas: inexistencia de nuevos datos negativos, ausencia de determinadas informaciones procedentes del registro de deudores o publicaciones de insolvencia y pago de la deuda dentro de los cien días posteriores a su comunicación a la agencia.

La propia autoridad de Hesse confirma actualmente que las deudas satisfechas pueden mantenerse hasta 36 meses y que determinadas situaciones se benefician del periodo reducido de dieciocho meses.

El apartado IV.2.b) incorpora directamente la doctrina relacionada con la exoneración del pasivo. La información correspondiente no puede permanecer durante más tiempo que en el registro público y el régimen se articula sobre el periodo de seis meses. El HBDI vincula expresamente esta regla con C-26/22 y C-64/22.

El Código contiene reglas diferenciadas para otras categorías de información. Esta estructura confirma que hablar genéricamente de «el plazo de SCHUFA» carece de precisión jurídica: existen diferentes categorías, finalidades, acontecimientos desencadenantes y reglas de terminación.

5.3. Supervisión y assurance

La arquitectura del Código no se limita a establecer calendarios. Su apartado V prevé un sistema de supervisión vinculado con el artículo 41 RGPD, que exige organismos de supervisión acreditados para determinados códigos de conducta.

El Código contempla controles continuos, revisiones periódicas basadas en riesgo, investigaciones derivadas de reclamaciones, acceso a la información necesaria y documentación de las actuaciones. Esta dimensión resulta particularmente relevante desde GRC porque convierte el Código en un mecanismo verificable de control y no únicamente en una declaración sectorial de buenas prácticas.

II. DEL DATO A LA DECISIÓN: SCORING, ACCESO Y EXPLICABILIDAD

6. C-634/21: cuando el score puede constituir jurídicamente una decisión

La sentencia C-634/21, OQ contra Land Hessen, con intervención de SCHUFA Holding AG, de 7 de diciembre de 2023, ECLI:EU:C:2023:957, examinó la aplicación del artículo 22 RGPD a la generación automatizada de un valor de probabilidad sobre la capacidad futura de una persona para cumplir sus obligaciones de pago.⁵

El artículo 22.1 RGPD reconoce el derecho a no ser objeto de una decisión basada únicamente en tratamiento automatizado, incluida la elaboración de perfiles, cuando produzca efectos jurídicos o afecte significativamente de modo similar. Los supuestos en los que dicho tratamiento puede admitirse se encuentran en el apartado 22.2, mientras que los apartados 22.3 y 22.4 establecen las garantías adicionales aplicables.

El TJUE atendió a la función efectiva del score dentro del proceso decisorio. En los hechos examinados, un valor insuficiente implicaba en la práctica que la entidad financiera denegara la solicitud de crédito. El Tribunal consideró relevante que el score:

«desempeña un papel determinante en la concesión de un crédito».

La precisión terminológica es importante. C-634/21 añade la dimensión decisoria al reconocer que la generación de un score puede constituir una decisión basada únicamente en tratamiento automatizado cuando desempeña un papel determinante en una decisión posterior. Esta conclusión depende de las circunstancias del caso y no convierte automáticamente cualquier sistema de scoring en una decisión comprendida en el artículo 22.1 RGPD; deberán examinarse asimismo las excepciones y garantías de los apartados 22.2 a 22.4.

Para nuestro análisis, la importancia de C-634/21 reside en conectar el gobierno del dato con el gobierno del modelo. Los datos históricos conservados para validar un score no constituyen únicamente un activo estadístico; sirven para desarrollar o probar herramientas capaces de influir de forma significativa en decisiones que afectan a personas.

7. C-487/21: qué significa realmente obtener una copia de los datos

El artículo 15.1 RGPD reconoce al interesado el derecho a conocer si sus datos están siendo tratados y, en caso afirmativo, a acceder tanto a los propios datos como a información relativa a las finalidades, categorías, destinatarios, periodos de conservación y otros elementos relevantes. El apartado 15.3 obliga al responsable a facilitar una copia de los datos objeto de tratamiento, mientras que el 15.4 exige respetar los derechos y libertades de terceros.

La sentencia C-487/21, F.F. contra Österreichische Datenschutzbehörde y CRIF GmbH, de 4 de mayo de 2023, ECLI:EU:C:2023:369, precisó que el derecho a copia exige una:

«reproducción auténtica e inteligible de todos esos datos».

El Tribunal admitió que, cuando resulte indispensable para ejercer efectivamente los derechos, puedan resultar necesarios extractos de documentos o de bases de datos.⁶

La doctrina no significa que toda solicitud de acceso obligue a entregar físicamente una reproducción íntegra de cada sistema, repositorio o base de datos. Lo relevante es que la persona obtenga acceso efectivo a los datos personales que son objeto de tratamiento, respetándose los derechos y libertades de terceros y las demás limitaciones legítimas.

Aplicado al debate SCHUFA, ello conduce a una conclusión más precisa: si los datos históricos continúan siendo datos personales objeto de tratamiento, no pueden excluirse del análisis del artículo 15 únicamente porque hayan dejado de intervenir en el score productivo actual. La forma concreta en que debe satisfacerse el derecho dependerá del contexto, de la naturaleza de la información, de los derechos de terceros y de las garantías aplicables.

8. C-203/22: del acceso al derecho a comprender el scoring

La sentencia C-203/22, CK contra Magistrat der Stadt Wien, con intervención de Dun & Bradstreet Austria GmbH, de 27 de febrero de 2025, ECLI:EU:C:2025:117, completa significativamente esta línea jurisprudencial. El asunto se refería al artículo 15.1.h) RGPD y a la exigencia de facilitar «información significativa sobre la lógica aplicada» en tratamientos automatizados.⁷

El TJUE interpreta esa disposición de forma funcional. La persona debe recibir información que permita comprender el procedimiento y los principios aplicados concretamente para utilizar sus datos y producir un resultado individualizado de solvencia.

La sentencia evita, al mismo tiempo, identificar explicabilidad con revelación indiscriminada de secretos técnicos. La entrega de una fórmula matemática compleja puede resultar insuficiente si no es comprensible, mientras que tampoco existe un derecho automático a obtener código fuente, todos los parámetros del sistema o cada una de sus operaciones internas.

La explicación debe permitir que el interesado comprenda los factores relevantes, pueda detectar eventuales errores, valore las consecuencias del tratamiento y disponga de información suficiente para impugnar el resultado y ejercer efectivamente sus derechos. El Tribunal aborda asimismo los secretos comerciales y los datos de terceros: su existencia puede exigir una ponderación, pero no opera como excepción absoluta que permita vaciar de contenido el artículo 15.1.h).

Consideradas conjuntamente, C-487/21, C-634/21 y C-203/22 permiten identificar una línea jurisprudencial europea especialmente significativa para el credit scoring: acceso efectivo a los datos, identificación de cuándo un score puede integrar una decisión automatizada y derecho a comprender suficientemente la lógica y el procedimiento aplicados. C-26/22 y C-64/22 añaden a esa arquitectura una cuarta dimensión, vinculada con la duración del tratamiento de determinadas categorías de información.

9. Los derechos de los interesados como mecanismo de assurance

Esta jurisprudencia permite extraer una consecuencia organizativa que excede el procedimiento jurídico de respuesta a derechos.

Para satisfacer correctamente un artículo 15, una organización debe conocer qué datos trata, dónde se encuentran, qué finalidad justifica cada tratamiento, durante cuánto tiempo se mantienen y, cuando corresponda, cómo intervienen en un resultado automatizado. El derecho del interesado obliga, por tanto, a contrastar la representación formal que la organización mantiene de sus sistemas con la realidad técnica de sus repositorios.

Una solicitud de acceso puede revelar datos históricos no inventariados, conjuntos utilizados por Data Science que no participan en los procedimientos ordinarios de derechos, réplicas cuya finalidad no ha sido adecuadamente documentada o sistemas en los que las reglas de conservación no se ejecutan de manera uniforme.

En términos GRC, el interesado puede convertirse involuntariamente en una fuente externa de assurance. Si la organización no puede responder de forma consistente porque desconoce dónde se encuentra la información o qué utilización se realiza de ella, el problema puede no residir exclusivamente en el procedimiento del artículo 15, sino en el sistema de Data Governance subyacente.

10. Del incumplimiento al riesgo indemnizatorio: el artículo 82 RGPD

La eventual acción colectiva anunciada por noyb obliga a diferenciar claramente entre infracción y daño.

El artículo 82.1 RGPD reconoce el derecho a recibir indemnización cuando una persona haya sufrido daños materiales o inmateriales como consecuencia de una infracción. La sentencia C-300/21, Österreichische Post, de 4 de mayo de 2023, ECLI:EU:C:2023:370, precisó que deben concurrir tres elementos: infracción, daño y relación causal entre ambos. La mera vulneración del Reglamento no basta por sí misma para generar automáticamente una indemnización, aunque el TJUE rechazó igualmente que los daños inmateriales deban superar un umbral mínimo de gravedad.⁸

Esta distinción tiene consecuencias directas para GRC. Una misma práctica puede producir riesgo supervisor, acciones de cesación, exposición indemnizatoria, costes operativos, riesgo reputacional y litigación, pero las condiciones jurídicas y probatorias de cada uno de estos riesgos son diferentes.

Por ello, cualquier cifra o estimación económica difundida actualmente por noyb en relación con una futura acción colectiva debe tratarse como una posición de la organización reclamante y no como una cuantificación judicialmente establecida.

III. DEL DATA GOVERNANCE AL MODEL GOVERNANCE

11. El Dictamen 28/2024 del EDPB: una referencia analógica para el gobierno de modelos

El Dictamen 28/2024 del Comité Europeo de Protección de Datos, adoptado en diciembre de 2024, no resuelve la licitud del archivo histórico de SCHUFA ni establece una regla específica para el credit scoring. Su interés para este estudio es analógico y metodológico.

El Dictamen examina tres cuestiones particularmente relevantes: bajo qué circunstancias un modelo de IA puede considerarse anónimo; cuándo puede utilizarse el interés legítimo para desarrollar o desplegar modelos de IA; y qué consecuencias pueden derivarse de una fase de desarrollo en la que los datos personales hayan sido tratados ilícitamente.

En materia de interés legítimo, el EDPB reproduce la estructura de tres fases del artículo 6.1.f): identificación del interés legítimo, necesidad del tratamiento y ponderación frente a los derechos e intereses de las personas. El análisis debe realizarse respecto de tratamientos y modelos concretos, no mediante invocaciones genéricas a la innovación o a la utilidad de la IA.

La conexión con SCHUFA es metodológica, no directa. Si una organización sostiene que necesita información histórica para desarrollar o validar un modelo, deberá justificar no solamente la existencia de una finalidad técnicamente razonable, sino la cantidad de información, la profundidad temporal, el grado de identificabilidad, las expectativas razonables de los afectados y la existencia de alternativas menos intrusivas.

El Dictamen resulta igualmente útil para evitar una simplificación frecuente en torno a anonimización y pseudonimización. Esta última reduce la posibilidad de asociación directa, pero no elimina por sí sola el carácter personal de la información; solamente una anonimización efectiva sitúa los datos fuera del ámbito del RGPD.

12. Proyección regulatoria: el Reglamento de IA y los conjuntos de validación

El Reglamento (UE) 2024/1689 de Inteligencia Artificial añade una capa regulatoria particularmente interesante para la gobernanza de modelos, aunque su utilización en este estudio exige dos cautelas.

La primera consiste en no identificar automáticamente todo scoring estadístico con un «sistema de IA». Será necesario comprobar en cada caso que el sistema entra en la definición del artículo 3.1.

La segunda se refiere a la clasificación de riesgo. Cuando un sistema de IA se utilice para evaluar la solvencia de personas físicas o establecer su puntuación crediticia, el anexo III, punto 5.b) lo sitúa dentro de los casos potencialmente clasificados como de alto riesgo conforme al artículo 6.2, con la excepción prevista para sistemas utilizados con objeto de detectar fraude financiero.

El artículo 10 resulta especialmente relevante desde la perspectiva de este estudio porque regula los datos y su gobernanza en los sistemas de alto riesgo sometidos a ese régimen. Las prácticas de gobierno de los conjuntos de entrenamiento, validación y prueba deben abordar, entre otros aspectos, los procesos y el origen de la recogida y, cuando se utilicen datos personales, la finalidad original para la que fueron recopilados.

Asimismo, deben analizarse disponibilidad, cantidad y adecuación de los conjuntos, posibles sesgos, medidas para detectarlos o mitigarlos y propiedades estadísticas y de representatividad relacionadas con la finalidad prevista.

La conexión conceptual con el caso SCHUFA es evidente: un modelo fiable necesita datos suficientemente adecuados y representativos, pero esa necesidad técnica no libera a la organización de gobernar su origen, finalidad, volumen, conservación y efectos sobre las personas.

El calendario vigente debe, no obstante, mencionarse con precisión. El Reglamento (UE) 2026/1744, de 8 de julio de 2026, modificó el artículo 113 del Reglamento de IA. De acuerdo con la nueva redacción, el capítulo III, secciones 1, 2 y 3, salvo la excepción expresamente prevista, será aplicable desde el 2 de diciembre de 2027 para los sistemas de alto riesgo clasificados en virtud del artículo 6.2 y anexo III, y desde el 2 de agosto de 2028 para los sistemas clasificados conforme al artículo 6.1 y anexo I.

Por ello, el artículo 10 no puede presentarse en agosto de 2026 como una obligación ya plenamente exigible a un eventual sistema SCHUFA encuadrable en el anexo III. Su utilidad en este estudio es prospectiva: proporciona una referencia normativa inmediata para diseñar arquitecturas de gobierno que deberán ser sostenibles en el nuevo marco europeo.

IV. SIETE LECCIONES GRC DEL CASO SCHUFA

13. Primera lección: la utilidad técnica no demuestra la necesidad jurídica

La primera enseñanza consiste en separar dos conceptos que dentro de las organizaciones tienden a confundirse. Un conjunto histórico puede ser extraordinariamente útil para realizar backtesting, estudiar estabilidad, reproducir resultados, comparar versiones o comprobar la capacidad predictiva de un modelo. Esa utilidad, sin embargo, no resuelve la prueba de necesidad derivada de los artículos 5.1.c), 5.1.e) y, cuando proceda, 6.1.f) RGPD.

Una organización madura debería poder justificar qué profundidad histórica necesita, qué variables son imprescindibles, sobre qué población debe realizarse la validación, en qué medida necesita mantener identificabilidad y qué pérdida de calidad producirían alternativas menos intrusivas.

La minimización deja así de ser una afirmación abstracta del área jurídica y puede convertirse en una hipótesis técnicamente contrastable por Data Science y Model Risk. Pueden compararse, por ejemplo, distintos horizontes temporales, población completa frente a muestras suficientemente representativas, información identificable frente a información pseudonimizada o determinados registros individualizados frente a métricas agregadas.

El principio puede formularse sencillamente: que el dato produzca valor no demuestra todavía que la organización pueda seguir conservándolo en las mismas condiciones.

14. Segunda lección: el ciclo de vida debe distinguir producción, archivo, restricción, backup, anonimización y eliminación

El artículo 4.2 RGPD y el apartado III.7 del Código alemán muestran que un dato puede abandonar el sistema productivo sin dejar por ello de ser objeto de tratamiento.

Una arquitectura de gobierno debería distinguir, como mínimo, entre información productiva, información histórica, información sometida a acceso restringido o bloqueo, datos pseudonimizados, datos anonimizados y datos materialmente eliminados. Cada estado necesita finalidades autorizadas, sistemas permitidos, perfiles de acceso, periodo aplicable y condición de salida.

La taxonomía debe diferenciar asimismo los backups destinados exclusivamente a recuperación de los conjuntos deliberadamente extraídos para análisis, pruebas o validación. Que una copia de seguridad continúe conteniendo determinados datos después de concluir el uso operativo no significa que pueda convertirse libremente en un dataset de desarrollo. Finalidad, accesibilidad y gobernanza son distintas.

Algo semejante ocurre con la anonimización. No debe considerarse una solución automática. Únicamente cuando la información deje efectivamente de relacionarse con una persona identificada o identificable quedará fuera del RGPD. La pseudonimización, aunque sea una salvaguarda relevante, no elimina por sí misma la naturaleza personal del dato.

Tampoco los datos sintéticos constituyen una solución universal. Pueden reducir exposición y resultar útiles en determinados entornos, pero deberán evaluarse tanto su resistencia a la reconstrucción o inferencia de información original como su capacidad para conservar las propiedades estadísticas que necesita la validación.

15. Tercera lección: cualquier reutilización significativa necesita gobierno de finalidad

Los artículos 5.1.b), 6.4, 13.3 y 14.4 RGPD muestran que el nacimiento de una finalidad ulterior debe gestionarse como una decisión de gobierno.

El riesgo habitual consiste en que las finalidades evolucionen silenciosamente. Una organización conserva inicialmente determinada información para gestionar incidencias; posteriormente descubre que posee valor analítico; después la utiliza en desarrollo; más tarde se incorpora a un modelo y finalmente los procesos de validación dependen estructuralmente de que esa información continúe existiendo.

Cuando Compliance o el DPO preguntan por qué permanece almacenada, la respuesta ya no describe una decisión original suficientemente analizada, sino una dependencia tecnológica acumulada.

Un verdadero gobierno de finalidad —Purpose Governance— debería exigir una decisión documentada antes de que se consolide esa dependencia. Deben analizarse finalidad original, finalidad ulterior, compatibilidad, base jurídica, necesidad, expectativas razonables, transparencia, salvaguardas, derechos y nuevo periodo de conservación.

16. Cuarta lección: Privacy Risk y Model Risk deben evaluarse conjuntamente

El caso SCHUFA permite visualizar claramente los problemas derivados de una gestión por silos.

Model Risk puede defender mayor profundidad histórica porque mejora la capacidad para analizar estabilidad y degradación. Privacy puede considerar que una reducción temporal disminuye la exposición acumulada de las personas. Security puede querer minimizar los volúmenes almacenados para limitar el impacto potencial de un incidente, mientras que Data Science puede necesitar preservar reproducibilidad. Legal puede tener interés en conservar determinada evidencia para reclamaciones y negocio puede rechazar una reducción que deteriore sustancialmente el producto.

Ninguna de estas posiciones es necesariamente incorrecta. El problema aparece cuando cada función optimiza exclusivamente su propio objetivo.

El artículo 25.1 RGPD exige integrar medidas técnicas y organizativas desde la determinación de los medios del tratamiento, mientras que el artículo 25.2 extiende expresamente la protección por defecto a la cantidad de datos, extensión del tratamiento, plazo de conservación y accesibilidad.

El artículo 10 del Reglamento de IA, cuando resulte aplicable, profundizará en esa lógica al incorporar requisitos sobre cantidad, adecuación, representatividad, origen, finalidad y sesgos.

Gobernar el modelo significa, por tanto, resolver estas tensiones dentro de una misma decisión y documentar por qué el equilibrio elegido resulta técnicamente suficiente y jurídicamente defendible.

17. Quinta lección: accountability exige evidencia, pero no legitima conservarlo todo

El artículo 5.2 RGPD atribuye al responsable la obligación de demostrar el cumplimiento y el artículo 24.1 exige aplicar medidas técnicas y organizativas apropiadas, revisándolas cuando sea necesario. El artículo 24.3 permite utilizar la adhesión a códigos de conducta aprobados como elemento para demostrar dicho cumplimiento.

Ninguno de estos preceptos convierte, sin embargo, la necesidad de disponer de evidencia en una base jurídica autónoma de conservación.

La cuestión es particularmente importante en modelos predictivos. La organización puede necesitar demostrar cómo se validó una versión, qué métricas produjo, cómo se comportó frente a determinadas poblaciones o qué decisiones metodológicas se adoptaron. Conservar evidencia sobre el modelo, no obstante, no equivale necesariamente a conservar indefinidamente toda la materia prima personal que permitió construir esa evidencia.

La arquitectura de accountability debería examinar la posibilidad de preservar documentación, métricas, versiones, muestras controladas, conjuntos pseudonimizados o agregaciones cuando estos elementos permitan mantener trazabilidad suficiente con menor impacto.

La pregunta relevante deja entonces de ser «¿tenemos suficientes datos?» y se transforma en otra más exigente: ¿podemos demostrar que conservamos exactamente la evidencia que necesitamos, durante el periodo necesario y bajo controles proporcionados al riesgo?

18. Sexta lección: los derechos de los interesados son pruebas reales del sistema de gobierno

C-487/21 y C-203/22 permiten interpretar los derechos no únicamente como obligaciones frente a la persona, sino también como instrumentos para evaluar la arquitectura interna.

Una organización capaz de responder correctamente a un artículo 15 tendrá que conocer los datos que trata, los repositorios en los que se encuentran, sus finalidades, destinatarios, periodos de conservación y, cuando corresponda, el procedimiento y principios relevantes del tratamiento automatizado.

Las incidencias detectadas durante las solicitudes deberían convertirse en indicadores de Data Governance. Repositorios no inventariados, discrepancias entre sistemas productivos e históricos, imposibilidad de ejecutar una supresión o existencia de datasets que el procedimiento de derechos no consigue localizar son evidencias acerca de la efectividad real de los controles.

Las métricas de ejercicio de derechos pueden, por ello, alimentar a las funciones de segunda línea y, cuando resulte pertinente, a auditoría interna. El interesado puede poner de manifiesto una debilidad de gobierno que ninguna revisión documental había detectado.

19. Séptima lección: una decisión de Data Governance puede convertirse en Enterprise Risk

La última enseñanza resume las anteriores. La decisión de conservar un conjunto de datos para mejorar la validación de un score puede comenzar como una cuestión técnica y terminar generando exposición regulatoria, litigiosa, financiera, operativa, reputacional y estratégica.

Una autoridad puede cuestionar la base jurídica; una resolución puede obligar a eliminar información de la que depende la validación; una deficiencia en las respuestas del artículo 15 puede generar reclamaciones masivas; una acción colectiva puede incrementar la exposición económica; y la percepción pública de una «base de datos en la sombra» puede erosionar la confianza en una organización cuyo negocio depende precisamente de la legitimidad de su tratamiento de información personal.

También puede aparecer riesgo de modelo. Si durante años se ha diseñado un sistema de validación suponiendo la existencia de determinada profundidad histórica, una limitación posterior de ese horizonte puede afectar a la capacidad de demostrar estabilidad o calidad.

La cuestión deja así de pertenecer exclusivamente al DPO o al área de Data y pasa a modificar el perfil general de riesgo empresarial, por lo que debe elevarse al nivel de gobierno correspondiente.

Figura 3 (IA). Siete lecciones GRC y preguntas de control para gobernar datos históricos y modelos de scoring.

V. MATRIZ GRC PARA EL GOBIERNO DE DATOS HISTÓRICOS

20. Matriz integrada de decisión y control

La ampliación del control Exit no presupone que cualquier artefacto de modelo constituya automáticamente un dato personal. Exige, más bien, que la organización conozca qué relación mantiene cada artefacto con los datos de origen, qué posibilidades de inferencia o reconstrucción conserva y qué tratamiento procede cuando una regla de supresión, limitación u oposición afecta al dataset original.

La finalidad de la matriz tampoco consiste en transformar el gobierno de modelos en una lista binaria de cumplimiento. Su utilidad reside en obligar a diferentes funciones a responder conjuntamente a una misma decisión. Data Science debe poder demostrar la utilidad estadística; Model Risk, la profundidad histórica necesaria; Privacy, la necesidad y proporcionalidad; Security, la exposición; Legal, la base jurídica y los riesgos de reclamación; y auditoría, la efectividad real de los controles.

VI. CONCLUSIONES

21. Cuando el modelo quiere recordar y la organización debe justificar por qué

La controversia sobre los datos históricos de SCHUFA permanece abierta y un análisis jurídico riguroso debe evitar dos simplificaciones opuestas. La primera consistiría en asumir que cualquier información es legítimamente conservable mientras contribuya a mejorar un modelo; la segunda, concluir que todo dato que haya dejado de intervenir en una finalidad productiva debe desaparecer automáticamente y que cualquier conservación histórica constituye una infracción.

La jurisprudencia disponible ofrece un escenario considerablemente más matizado. C-26/22 y C-64/22 impiden prolongar, en las circunstancias allí examinadas, la conservación privada de determinada información sobre exoneración más allá de su disponibilidad pública y obligan a analizar estrictamente la necesidad incluso durante el periodo de conservación paralela. La jurisprudencia posterior del Bundesgerichtshof confirma, respecto de otra categoría diferente de datos —perturbaciones de pago comunicadas por socios contractuales—, que la satisfacción de la deuda no implica necesariamente una supresión inmediata.

La conclusión metodológica es clara: la licitud de la conservación debe analizarse por tratamiento, categoría de datos, finalidad, periodo, contexto y efectos sobre la persona.

El Código de Conducta de 2024 contribuye a concretar esta arquitectura, pero establece expresamente que sus plazos no determinan la licitud material. La autoridad de Hesse insiste igualmente en que las reglas sectoriales concretan el RGPD respecto de periodos de conservación, pero no resuelven por sí mismas si la conservación de determinados datos está jurídicamente autorizada.

C-634/21 incorpora la dimensión decisoria al reconocer que un score puede constituir una decisión basada únicamente en tratamiento automatizado cuando desempeña un papel determinante en la decisión posterior, sin que ello convierta automáticamente cualquier sistema de scoring en un supuesto comprendido en el artículo 22.1. C-487/21 y C-203/22 completan la arquitectura al exigir acceso efectivo a los datos y, cuando resulte aplicable, información que permita comprender adecuadamente el tratamiento automatizado.

Desde una perspectiva GRC, el aprendizaje principal consiste en abandonar una concepción exclusivamente cronológica de la conservación. Una política madura no responde solamente a cuántos meses o años permanece determinado dato. Debe establecer también qué finalidad continúa vigente, qué cantidad de información resulta necesaria, qué nivel de identificación necesita el modelo, quién accede a ella, qué tratamientos secundarios están autorizados, cómo pueden ejercerse los derechos y qué acontecimiento determina la salida definitiva.

La proyección hacia el gobierno de IA refuerza este enfoque. El legislador europeo exige que los conjuntos utilizados en sistemas de alto riesgo sometidos al artículo 10 sean gobernados atendiendo, entre otras cuestiones, a su origen, cantidad, adecuación, representatividad, posibles sesgos y finalidad original de recogida. El calendario vigente tras el Reglamento (UE) 2026/1744 sitúa la aplicación de esas obligaciones, para los sistemas de alto riesgo del artículo 6.2 y anexo III, en el 2 de diciembre de 2027.

El caso SCHUFA permite, en definitiva, formular un principio de gobierno aplicable mucho más allá del credit scoring: que un modelo necesite recordar no significa que la organización pueda conservar sin más toda la memoria disponible. Deberá demostrar por qué necesita precisamente esos datos, durante ese periodo, con ese grado de detalle, con ese nivel de identificabilidad y bajo esas condiciones de acceso y reutilización.

Esa explicación deberá poder sostenerse simultáneamente frente a Data Science, Model Risk, el DPO, Compliance, los órganos de gobierno, la autoridad de control, el interesado y, llegado el caso, un tribunal.

Es precisamente en ese punto donde la retención de datos deja de ser una política documental y se convierte en gobierno de modelos. Y es también ahí donde Gobierno, Riesgo y Cumplimiento dejan de poder administrarse como disciplinas independientes.

Bibliografía y referencias

1. TJUE, sentencia de 7 de diciembre de 2023, asuntos acumulados C-26/22 y C-64/22, UF y AB contra Land Hessen, ECLI:EU:C:2023:958, especialmente aps. 82-105 y 107-113.

2. Ibidem, ap. 99. La cita literal se reproduce de forma abreviada para destacar el límite temporal relevante.

3. Bundesgerichtshof, sentencia de 18 de diciembre de 2025, I ZR 97/25, I. Zivilsenat. Para la afirmación utilizada en este estudio se ha comprobado la nota de prensa oficial n.º 233/25, de 18 de diciembre de 2025, así como el registro oficial de decisiones del BGH.

4. Hessischer Beauftragte für Datenschutz und Informationsfreiheit, aprobación de las Verhaltensregeln für die Prüf- und Speicherfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien, 24 de mayo de 2024; reglas publicadas como de 25 de mayo de 2024. El HBDI confirma la existencia de periodos transitorios hasta el 1 de octubre de 2024 y el 1 de enero de 2025 para determinadas obligaciones.

5. TJUE, sentencia de 7 de diciembre de 2023, C-634/21, OQ contra Land Hessen, ECLI:EU:C:2023:957.

6. TJUE, sentencia de 4 de mayo de 2023, C-487/21, F.F. contra Österreichische Datenschutzbehörde y CRIF GmbH, ECLI:EU:C:2023:369, especialmente aps. 41-45.

7. TJUE, sentencia de 27 de febrero de 2025, C-203/22, CK contra Dun & Bradstreet Austria GmbH y Magistrat der Stadt Wien, ECLI:EU:C:2025:117.

8. TJUE, sentencia de 4 de mayo de 2023, C-300/21, UI contra Österreichische Post AG, ECLI:EU:C:2023:370.

9. European Data Protection Board, Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models, diciembre de 2024.

10. Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial; Reglamento (UE) 2026/1744, de 8 de julio de 2026, art. 40, modificativo del art. 113 del Reglamento de IA.

11. HBDI, Speicherung von Forderungen trotz Restschuldbefreiung, consulta realizada el 27 de agosto de 2026. La autoridad vincula expresamente la regla de seis meses con C-26/22 y C-64/22.

12. HBDI, Speicherung von bereits ausgeglichenen Forderungen, consulta realizada el 27 de agosto de 2026, sobre los periodos de 36 y, cuando concurren los requisitos aplicables, 18 meses.

13. Para la reconstrucción factual de la controversia de 2026 se han utilizado las investigaciones de NDR/Süddeutsche Zeitung, la posición pública de SCHUFA y las comunicaciones de noyb. Estas fuentes se emplean exclusivamente para describir hechos, alegaciones y estado de la controversia, y no sustituyen a las fuentes jurídicas primarias.

Autor y responsable editorial: Leocadio Marrero Trujillo.
El enfoque, la arquitectura, los criterios de análisis y las conclusiones de este artículo han sido definidos y validados por el autor. Durante su elaboración se han utilizado herramientas de inteligencia artificial generativa como apoyo para la estructuración, reformulación, edición y creación de determinados elementos gráficos.

El contenido ha sido sometido a revisión humana sustantiva, comprobación de fuentes y validación jurídica y técnica. El autor ha aprobado la versión definitiva y asume íntegramente la responsabilidad editorial sobre su contenido