În luna octombrie 2024, Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a finalizat o investigație amplă asupra operatorului Raiffeisen Bank S.A., constatând încălcări grave ale Regulamentului (UE) 2016/679 (GDPR). Aceasta a rezultat într-o sancțiune contravențională semnificativă, de 99.466 lei (20.000 euro), pentru nerespectarea obligațiilor legale privind securitatea datelor.
Contextul investigației privind securitatea datelor
Investigația a fost inițiată după ce Raiffeisen Bank a raportat trei incidente de încălcare a securității datelor cu caracter personal. Printre cele mai grave situații semnalate s-a aflat utilizarea neautorizată a datelor personale de către un angajat al băncii, care a realizat operațiuni financiare frauduloase, inclusiv retrageri numerar și transferuri bancare în numele clienților.
Mai multe categorii de date au fost compromise, precum:
- numele și prenumele clienților,
- codurile numerice personale,
- adresele de domiciliu și corespondență,
- date financiare și tranzacționale,
- istoricul complet al conturilor și depozitelor.
Încălcările identificate în cadrul securității datelor
Autoritatea Națională a constatat că Raiffeisen Bank nu a implementat măsuri suficiente pentru a garanta că angajații săi prelucrează datele personale strict conform instrucțiunilor operatorului. Această deficiență a dus la accesarea și divulgarea neautorizată a datelor clienților, încălcând prevederile art. 32 alin. (4) din GDPR.
De asemenea, doi angajați au furnizat informații confidențiale despre tranzacțiile unui client către terți prin rețele de socializare precum Facebook și WhatsApp. Această practică nelegală a dus la divulgarea unor date esențiale, inclusiv detalii despre sumele tranzacționate și beneficiarii acestora.
Măsuri corective impuse pentru îmbunătățirea protecției datelor
Conform art. 58 alin. (2) lit. d) din GDPR, Raiffeisen Bank S.A. a fost obligată să implementeze un plan procedural complex care să includă:
- Testare și evaluare periodică: Introducerea unui proces riguros de verificare a operațiunilor de introducere și actualizare a datelor personale ale clienților.
- Informarea angajaților: Diseminarea periodică, la fiecare șase luni, a informațiilor privind riscurile asociate prelucrării neautorizate a datelor. Fiecare angajat cu acces la astfel de informații trebuie să confirme luarea la cunoștință a acestor riscuri.
Întrebări frecvente
Ce a determinat Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal să investigheze Raiffeisen Bank?
Investigația a fost inițiată după ce Raiffeisen Bank S.A. a raportat trei incidente de încălcare a securității datelor cu caracter personal, inclusiv utilizarea neautorizată a datelor clienților de către angajați.
Ce sancțiune a primit Raiffeisen Bank pentru încălcarea securității datelor?
Raiffeisen Bank S.A. a fost sancționată cu o amendă de 99.466 lei (echivalentul a 20.000 euro) pentru nerespectarea prevederilor GDPR referitoare la securitatea datelor.
Ce tipuri de date cu caracter personal au fost compromise în urma încălcării securității datelor?
Datele compromise au inclus nume, prenume, CNP, adrese, numere de telefon, date de naștere, informații despre angajator, detalii financiare și istoricul tranzacțiilor.
Cum au fost utilizate neautorizat datele cu caracter personal ale clienților?
Angajați ai băncii au efectuat tranzacții financiare neautorizate, au furnizat informații confidențiale unor terți și au deschis conturi sau solicitat produse financiare în numele clienților fără consimțământul acestora.
Ce măsuri corective a impus Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal?
Autoritatea a dispus implementarea unui plan procedural pentru testarea și evaluarea periodică a prelucrării datelor și informarea regulată a angajaților privind riscurile asociate prelucrării neautorizate a datelor cu caracter personal.
Care sunt obligațiile operatorilor de date conform GDPR în contextul securității datelor?
Operatorii de date trebuie să implementeze măsuri tehnice și organizatorice adecvate pentru a asigura un nivel de securitate corespunzător riscurilor asociate prelucrării datelor cu caracter personal.
Ce drepturi au persoanele vizate în cazul unei încălcări a securității datelor?
Persoanele vizate au dreptul de a fi informate cu privire la încălcarea securității datelor lor și pot solicita măsuri reparatorii, inclusiv despăgubiri pentru prejudiciile suferite.
Cum pot organizațiile preveni încălcările securității datelor?
Organizațiile pot preveni astfel de încălcări prin implementarea unor politici stricte de securitate, formarea continuă a angajaților și monitorizarea constantă a accesului la datele cu caracter personal.
Ce consecințe pot avea încălcările securității datelor asupra reputației unei organizații?
Încălcările securității datelor pot duce la pierderea încrederii clienților, afectarea reputației și pot atrage sancțiuni financiare semnificative.
