Transmitere de mesaje de catre o banca, desi relatia contractuala aceasta entitate era incheiata

Autoritatea nationala de supraveghere a fost sesizata de catre un petent cu privire la faptul ca o institutie de credit i-a transmis mesaje privind actualizarea datelor sale cu caracter personal, desi relatia sa contractuala cu aceasta banca era incheiata, ca urmare a cererii acestuia de inchidere a contului curent deschis la aceasta banca .

Ulterior, petentul a primit pe adresa sa de e-mail un nou mesaj referitor la actualizarea datelor sale cu caracter personal.

Din investigatia efectuata, a reiesit ca petentul si-a furnizat datele, respectiv adresa de e-mail, la deschiderea relatiei de afaceri cu banca, respectiv deschiderea unui cont curent. Ca urmare a unei erori de sistem, cererea de inchidere a ultimului produs bancar detinut de client nu a avut ca efect si inchiderea relatiei de afaceri, aceasta fiind pastrata in continuare cu status ``activ``. Ulterior, operatorul a transmis pe adresa de e-mail a petentului mai multe mesaje privind actualizarea datelor sale cu caracter personal, ca urmare a expirarii cartii sale de identitate.

In vederea transmiterii celor trei mesaje au fost prelucrate mai multe date cu caracter personal, respectiv, adresa de e-mail, numele si prenumele, precum si data de expirare a cartii de identitate.

Astfel, au fost incalcate prevederile art. 5 din Regulamentul (UE) 2016/679, care reglementeaza principiile legate de prelucrarea datelor cu caracter personal, conform carora datele cu caracter personal (in speta, adresa de e-mail, numele si prenumele petentului, data de expirare a cartii de identitate) trebuie sa fie:

a) prelucrate in mod legal, echitabil si transparent fata de persoana vizata ("legalitate, echitate si transparenta");

b) colectate in scopuri determinate, explicite si legitime si nu sunt prelucrate ulterior intr-un mod incompatibil cu aceste scopuri ("limitari legate de scop``);

c) adecvate, relevante si limitate la ceea ce este necesar in raport cu scopurile in care sunt prelucrate ("reducerea la minimum a datelor");

d) exacte si, in cazul in care este necesar, sa fie actualizate; trebuie sa se ia toate masurile necesare pentru a se asigura ca datele cu caracter personal care sunt inexacte, avand in vedere scopurile pentru care sunt prelucrate, sunt sterse sau rectificate fara intarziere ("exactitate").

De asemenea, au fost incalcate prevederile art. 6 din Regulamentul (UE) 2016/679, intrucat, dupa incetarea relatiei de afaceri dintre operator si petent, operatorul nu mai avea temei legal pentru prelucrarea adresei de e-mail a petentului, coroborat cu numele si prenumele acestuia, data de expirare a cartii de identitate, in scopul transmiterii mesajelor.

Fata de constatari, operatorul a fost sanctionat contraventional cu amenda si i s-a recomandat sa asigure conformitatea operatiunilor de prelucrare a datelor personale, in cadrul activitatilor desfasurate de banca, cu principiile reglementate prin Regulamentul (UE) 2016/679 la art. 5, precum si cu prevederile art. 6 din acelasi Regulament.