O bancă din România a primit prima amendă pentru nerespectarea regulamentului GDPR

Unicredit Bank a fost sancţionată cu 130.000 de euro pentru nerespectarea legislaţiei europene privind datele cu caracter personal, a anunţat miercuri un comunicat al Autorităţii Naţionale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).

„Pe data de 27.06.2019, Autoritatea Naţională de Supraveghere a finalizat o investigaţie la operatorul Unicredit Bank S.A. şi a constatat că acesta a încălcat prevederile art. 25 alin. (1) din Regulamentul (UE) 2016/679 al Parlamentului European şi al Consiliului din 27 aprilie 2016 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date şi de abrogare a Directivei 95/46/CE (Regulamentul general privind protecţia datelor). Operatorul a fost sancţionat contravenţional cu amendă în cuantum de 613.912 lei, echivalentul în euro al sumei de 130.000 euro. Sancţiunea a fost aplicată Unicredit Bank S.A. ca urmare a neaplicării măsurilor tehnice şi organizatorice adecvate, atât în momentul stabilirii mijloacelor de prelucrare, cât şi în cel al prelucrării în sine, destinate să pună în aplicare în mod eficient principiile de protecţie a datelor, precum reducerea la minimum a datelor, şi să integreze garanţiile necesare în cadrul prelucrării, pentru a îndeplini cerinţele RGPD şi a proteja drepturile persoanelor vizate. Aceasta a condus la dezvăluirea în documentele ce conţin detaliile tranzacţiilor şi care sunt puse on-line la dispoziţia clienţilor beneficiari ai plăţilor, a datelor privind CNP-ul şi adresa plătitorului (pentru situaţiile în care plătitorul efectua tranzacţia dintr-un cont deschis la o alta instituţie de credit – tranzacţii externe şi depuneri la casierie), respectiv a datelor privind adresa plătitorului (pentru situaţiile în care plătitorul efectua tranzacţia dintr-un cont deschis la Unicredit Bank S.A. – tranzacţii interne), pentru un număr de 337.042 persoane vizate, în perioada 25 mai 2018 – 10.12.2018.”, a precizat ANSPDCP.

Potrivit sursei citate, sancţiunea a fost aplicată ca urmare a unei sesizări a Autorităţii Naţionale de Supraveghere din data de 22.11.2018 prin care se semnala faptul că datele privind CNP-ul şi adresa persoanelor care efectuau plăţi la Unicredit Bank S.A., prin intermediul tranzacţiilor on-line, erau dezvăluite către beneficiarul tranzacţiei, prin formularele de extras de cont/detalii.

„Potrivit art. 5 alin. 1 lit. c) din RGPD (‘Principii legate de prelucrarea datelor cu caracter personal’), operatorul avea obligaţia de a prelucra date limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate datele. În acelaşi timp, considerentul (78) din Regulament precizează: ‘Protecţia drepturilor şi libertăţilor persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal necesită adoptarea de măsuri tehnice şi organizatorice corespunzătoare pentru a se asigura îndeplinirea cerinţelor din prezentul regulament. Pentru a fi în măsură să demonstreze conformitatea cu prezentul regulament, operatorul ar trebui să adopte politici interne şi să pună în aplicare măsuri care să respecte în special principiul protecţiei datelor începând cu momentul conceperii şi cel al protecţiei implicite a datelor. Astfel de măsuri ar putea consta, printre altele, în reducerea la minimum a prelucrării datelor cu caracter personal, pseudonimizarea acestor date cât mai curând posibil, transparenţa în ceea ce priveşte funcţiile şi prelucrarea datelor cu caracter personal, abilitarea persoanei vizate să monitorizeze prelucrarea datelor, abilitarea operatorului să creeze elemente de siguranţă şi să le îmbunătăţeasc㔑, mai arată comunicatul ANSPDC.