O bancă din România, amendată cu 28.000 euro pentru mai multe încălcări ale GDPR, printre care și acordarea de credite unor persoane care nu le-au solicitat

Cea mai notabilă încălcare a GDPR a vizat o situație ce implică și suspiciuni de fraudă internă în creditare. Mai exact, s-au făcut demersuri pentru acordarea unui card de credit și a unui credit de nevoi personale pentru un client-persoană fizică, fără ca respectivul client să se prezintat măcar la sediu. În acest caz, datele personale ale clientului au fost modificate, astfel încât numărul de telefon să fie al angajatului băncii, iar adresa de e-mail era una fictivă.

De asemenea, banca a notificat Autoritatea de supraveghere de faptul că s-a ajuns la acordarea unor credite anumitor persoane fizice, prin intermediul unei entități care avea calitatea de persoană împuternicită a operatorului, fără ca respectivele persoane să fi solicitat aceste credite sau să fi semnat documentele aferente.

Un alt incident a vizat prelucrarea de date de către operator pentru acordarea a trei tipuri de credite pentru o persoană fizică, clientă a băncii, care ca aceasta să fi solicitat, în realitatea, aceste credite, după cum este prezentat în comunicatul ANSPDCP.

De asemenea, au fost efectuate de interogări în sistemele Biroului de Credit și Agenției Naționale de Administrare Fiscală pentru simularea de decizii de creditare ("prescoring") pentru un broker extern de credite. 

Pe de altă parte, interogarea în Biroul de Credit s-a făcut, pentru 169 de clienți sau potențiali clienți-persoane fizice, fără ca documentația necesară să fi fost semnată de solicitanții respectivi.

Alte încălcări au vizat trimiterea de date cu caracter personal altor persoane decât cele vizate, printre care și unele confidențiale, cum ar fi trimiterea unui document prin e-mail altui destinatar.

În urma investigației finalizate în septembrie de Autoritatea de supraveghere, s-a constatat că banca nu a luat măsurile necesare pentru a se asigura că orice persoană fizică care acționează sub autoritatea sa, indiferent că este vorba de salariați sau terți, și care are acces la date cu caracter personal nu le prelucrează decât la cererea ei.