Prima amendă GDPR din România: 130.000 de euro pentru Unicredit Bank, care a dezvăluit CNP-urile clienţilor

Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal a amendat cu 613.912 lei (130.000 euro) Unicredit Bank, pentru că a încălcat prevederile privind GDPR.
Sancţiunea a fost aplicată ca urmare a unei sesizări depusă la Autoritate pe 20 noiembrie 2018, prin care se semnala faptul că datele privind CNP-ul şi adresa persoanelor care efectuau plăţi la UniCredit Bank, prin intermediul tranzacţiilor on-line, erau dezvăluite către beneficiarul tranzacţiei, prin formularele de extras de cont/detalii. Ancheta a fost finalizată pe 27 iunie 2019, iar „sancţiunea a fost aplicată ca urmare a neaplicării măsurilor tehnice şi organizatorice adecvate, atât în momentul stabilirii mijloacelor de prelucrare, cât şi în cel al prelucrării în sine, destinate să pună în aplicare în mod eficient principiile de protecţie a datelor, precum reducerea la minimum a datelor, şi să integreze garanţiile necesare în cadrul prelucrării, pentru a îndeplini cerinţele RGPD şi a proteja drepturile persoanelor vizate. Aceasta a condus la dezvăluirea în documentele ce conţin detaliile tranzacţiilor şi care sunt puse on-line la dispoziţia clienţilor beneficiari ai plăţilor, a datelor privind CNP-ul şi adresa plătitorului (pentru situaţiile în care plătitorul efectua tranzacţia dintr-un cont deschis la o alta instituţie de credit – tranzacţii externe şi depuneri la casierie), respectiv a datelor privind adresa plătitorului (pentru situaţiile în care plătitorul efectua tranzacţia dintr-un cont deschis la UNICREDIT BANK SA – tranzacţii interne), pentru un număr de 337.042 persoane vizate, în perioada 25 mai 2018 – 10.12.2018”.