Prelucrarea de date cu caracter personal inexacte si dezvaluirea acestora catre un partener contractual

O institutie bancara a notificat Autoritatea nationala de supraveghere cu privire la producerea unui incident de incalcare a securitatii datelor cu caracter personal, prin completarea formularului privind incalcarea securitatii datelor cu caracter personal prevazut de Regulamentul (UE) 2016/679.

In fapt, institutia bancara a transmis catre un partener contractual in vederea emiterii unor polite de asigurare, doua fisiere continand atat informatii corecte, cat si informatii inexacte/neactualizate. Fisierele transmise contineau date cu caracter personal aferente unui numar de 270 de persoane vizate (nume si prenume, cod numeric personal, nationalitate, adresa domiciliu, adresa imobil asigurat, telefon, adresa e-mail, CIF - cod identificare client, Cod IBAN, tip de credit asociat politei de asigurare, numar contract credit).

Din investigatia efectuata in acest caz, a rezultat ca, angajatii departamentului de monitorizare al politelor de asigurare nu au verificat si procesat politele de asigurare in conformitate cu Procedura de lucru, astfel incat informatiile utilizate in cadrul procesului de emitere a unor noi polite de asigurare nu au fost actualizate (politele de asigurare transmise pe e-mail de catre garanti nu au fost inregistrate in sistemul central al Bancii). Incidentul de securitate a afectat un numar de 270 de persoane fizice vizate, producand si efecte financiare asupra acestora.

Ca urmare a producerii incidentului de securitate, institutia bancara a initiat un proiect intern care are in vedere automatizarea procesului, simplificarea pasilor parcursi si includerea unor masuri aditionale de verificare .

Totodata, Autoritatea nationala de supraveghere a constatat ca institutia bancara a incalcat prevederile art. 29, art. 32 alin. (2) si art. 32 alin. (4) din Regulamentul (UE) 2016/679 intrucat operatorul nu a luat suficiente masuri pentru a asigura ca orice persoana fizica care actioneaza sub autoritatea operatorului si care are acces la date cu caracter personal nu le prelucreaza decat la cererea sa.

Astfel, neimplementarea unor masuri tehnice si organizatorice adecvate inainte de producerea incidentului, au condus la incalcarea confidentialitatii datelor cu caracter personal, prin divulgare neautorizata sau accesul neautorizat la datele cu caracter personal transmise, stocate sau prelucrate intr-un alt mod, prin transmiterea a doua fisiere, care contineau date cu caracter personal, catre un partener contractual, in vederea emiterii unor polite de asigurare, fisiere care contineau atat informatii corecte (referitoare la polite care trebuiau emise) cat si informatii inexacte/neactualizate.

In urma investigatiei efectuate, Autoritatea nationala de supraveghere a sanctionat operatorul cu amenda in cuantum de 4.874,40 lei (echivalentul a 1000 EURO), pentru incalcarea prevederilor art. 29, art. 32 alin. (2) si art. 32 alin. (4) din Regulamentul (UE) 2016/679.