Dupa aproape un an de amanari in instanta, Raiffeisen Bank a obtinut reducerea de 10 ori a unei amenzi pentru un caz de incalcare a GDPR

Raiffeisen Bank a obţinut în instanţă ad­miterea în parte a plângerii formulate îm­po­triva Autorităţii Naţionale de Supra­veghe­re a Prelucrării Datelor cu Caracter Per­sonal (ANSPDCP), ajungând la redu­cerea de 10 ori a amenzii iniţiale la 15.000 de euro, po­trivit informaţiilor publicate pe por­talul in­stan­ţelor de judecată a Ministerului Justiţiei, preluate de ZF.

Tribunalul Bucureşti a admis în parte cererea Raiffeisen Bank. „Admite în parte plângerea. Anulează în parte procesul-verbal contestat, în sensul diminuării cuantumului amenzii aplicate de 712.680 lei (150.000 euro) la 71.268 lei (15.000 euro). Ia act că s-au solicitat cheltuieli pe cale separată“, se arată pe portalul Ministerului Justiţiei.

Anunțul nu precizează dacă sentința este definitivă sau dacă poate fi atacată cu apel sau recurs.

De ce a fost acordata sansctiunea

Autoritatea Națională de Supraveghere a finalizat în data de 01.10.2019 o investigație la Raiffeisen Bank S.A. constatând ca banca a încălcat prevederile art. 32 alin. (4) coroborat cu art. 32 alin. (1) și alin. (2) din RGPD, ceea ce a condus la aplicarea unei amenzi contravenționale în cuantum de 150.000 Euro

Investigația a fost demerata ca urmare a transmiterii de către bancă a unei notificări privind încălcarea securității datelor cu caracter personal prin completarea formularului privind încălcarea securității conform Regulamentului (UE) 2016/679.

Încălcarea securității a constat în faptul că doi angajați ai Raiffeisen Bank S.A., utilizând datele din documentele de identitate ale unor persoane fizice, transmise de către angajați ai societății Vreau Credit S.R.L. prin intermediul aplicației mobile WhatsApp, au efectuat interogări ale sistemului Biroului de Credit pentru a obține datele necesare în vederea determinării eligibilității la creditare a respectivelor persoane fizice, prin simulări de prescoring. În acest sens, au fost efectuate 1194 simulări, cu privire la 1177 persoane fizice.

De asemenea, pentru 124 de persoane fizice s-a efectuat și consultarea bazei de date a ANAF.

Simulările de prescoring menționate mai sus au fost efectuate prin intermediul aplicației informatice utilizate de Raiffeisen Bank S.A. în activitatea de creditare, iar decizia negativă de creditare a fost comunicată de către angajații Raiffeisen Bank S.A. către angajații Vreau Credit S.R.L., cu încălcarea procedurilor interne.

Sancțiunea a fost aplicată operatorului ca urmare  a faptului că acesta nu a luat măsurile corespunzătoare pentru a se asigura că orice persoană fizică care acționează sub autoritatea acestuia și care are acces la date cu caracter personal, nu le prelucrează decât la cererea sa, cu excepția cazului în care această obligație îi revine în temeiul dreptului Uniunii sau al dreptului intern.

De asemenea, operatorul nu a implementat măsuri tehnice şi organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător și nu a evaluat riscurile pe care le prezintă prelucrarea.

Această situație a condus la accesul neautorizat la datele cu caracter personal prelucrate prin aplicația informatică utilizată de Raiffeisen Bank S.A. în activitatea de creditare și la divulgarea neautorizată a datelor cu caracter personal de către angajați ai băncii.

De asemenea, Autoritatea a constatat ca Vreau Credit S.R.L. a încălcat prevederile art. 32 alin. (4) coroborat cu art. 32 alin. (1) și alin. (2) din RGPD, precum și ale art. 33 alin. (1) din RGPD, ceea ce a condus la aplicarea unei amenzi contravenționale în cuantum de 20.000 Euro.