Περίληψη της Απόφασης
Προέλευση της υπόθεσης
Η Ιταλική Αρχή Προστασίας Δεδομένων (DPA) έλαβε καταγγελία από υπάλληλο της Poste Italiane, η οποία, μετά την απόρριψη αίτησης δανείου που υποβλήθηκε μέσω της BancoPosta, ανακάλυψε ότι πληροφορίες σχετικά με την οικονομική της κατάσταση ήταν προσβάσιμες μέσω πλατφόρμας που χρησιμοποιούνταν από εξουσιοδοτημένο προσωπικό της εταιρείας.
Οι πληροφορίες περιελάμβαναν το καθαρό εισόδημά της και τις υφιστάμενες οικονομικές της υποχρεώσεις. Η καταγγέλλουσα αμφισβήτησε την αποκάλυψη αυτών των δεδομένων και ζήτησε τη διαγραφή τους.
Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (DPA) ξεκίνησε έρευνα σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα από την Poste Italiane και την Deutsche Bank σε σχέση με την προώθηση και την παροχή δανείων BancoPosta.
Βασικά ευρήματα
Η έρευνα διαπίστωσε ότι, παρά τις συμβατικές τους ρυθμίσεις, τα Poste Italiane και Deutsche Bank ενήργησαν ως ανεξάρτητοι υπεύθυνοι επεξεργασίας δεδομένων.
Η Post Italiane συγκέντρωνε αιτήσεις δανείων και πραγματοποίησε ενδιάμεσες δραστηριότητες, συμπεριλαμβανομένου του εντοπισμού χρηματοπιστωτικών προϊόντων που ήταν κατάλληλα για τις ανάγκες των αιτούντων, ενώ η Deutsche Bank αξιολόγησε ανεξάρτητα την πιστοληπτική ικανότητα και αποφάσισε εάν θα χορηγούσε τα δάνεια.
Η DPA διαπίστωσε ότι οι ειδοποιήσεις περί απορρήτου που παρείχαν και οι δύο εταιρείες δεν αντικατόπτριζαν επαρκώς τους αντίστοιχους ρόλους τους και τα προσωπικά δεδομένα που ανταλλάσσονταν μεταξύ τους.
Συγκεκριμένα, τα Ιταλικά Ταχυδρομεία δεν παρείχαν επαρκώς σαφείς πληροφορίες σχετικά με την επεξεργασία που πραγματοποιήθηκε κατά την προώθηση και τη διανομή δανείων, συμπεριλαμβανομένων των αποδεκτών των προσωπικών δεδομένων και των ροών πληροφοριών που αφορούσαν την τράπεζα.
Η Deutsche Bank δεν είχε επίσης προσδιορίσει σωστά την Poste Italiane ως αποδέκτη δεδομένων προσωπικού χαρακτήρα, ενεργώντας ως ανεξάρτητος υπεύθυνος επεξεργασίας.
Η Αρχή Προστασίας Δεδομένων (DPA) τόνισε ότι οι ειδοποιήσεις περί απορρήτου πρέπει να παρέχουν σαφείς, πλήρεις και κατανοητές πληροφορίες σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Η ανάγκη για συνοπτικές πληροφορίες δεν μπορεί να δικαιολογήσει την παράλειψη ουσιωδών λεπτομερειών που επιτρέπουν στα άτομα να κατανοήσουν τον τρόπο με τον οποίο χρησιμοποιούνται τα δεδομένα τους.
Και οι δύο εταιρείες κρίθηκαν ότι παραβίασαν τα άρθρα 5(1)(α) και 13 του ΓΚΠΔ.
Απόφαση
Η ιταλική Αρχή Προστασίας Δεδομένων επέβαλε διοικητικό πρόστιμο ύψους 48.000 ευρώ στην Poste Italiane και 33.000 ευρώ στην Deutsche Bank.
Κατά τη διάρκεια της έρευνας, και οι δύο εταιρείες διέγραψαν τα προσωπικά δεδομένα του καταγγέλλοντος. Η Poste Italiane ενημέρωσε επίσης την ειδοποίηση περί απορρήτου της, ενώ η Deutsche Bank εξέδωσε εσωτερικές οδηγίες για τον περιορισμό της συμπερίληψης προσωπικών και πιστωτικών πληροφοριών στις επικοινωνίες που αφορούν αιτήσεις δανείου.
Η DPA διέταξε επίσης την Deutsche Bank να τροποποιήσει την ειδοποίηση απορρήτου της εντός έξι μηνών, ώστε να αντικατοπτρίζει με ακρίβεια τον ρόλο της Poste Italiane ως ανεξάρτητου υπεύθυνου επεξεργασίας δεδομένων και να προσκομίσει αποδεικτικά στοιχεία συμμόρφωσης.
Για περισσότερες πληροφορίες:
- Απόφαση της ιταλικής DPA σχετικά με τα Poste Italiane
- Ιταλική απόφαση DPA σχετικά με την Deutsche Bank
