Podstawa prawna naruszenia

Art. 6, art. 13, art. 14 RODO.

Niewystarczająca podstawa prawna przetwarzania danych.

Przyczyna naruszenia

Hiszpański organ nadzorczy (AEPD) wszczął postępowanie przeciwko CAIXABANK, S.A. za naruszenie przepisów RODO, polegające na niewystarczającej przejrzystości w informowaniu klientów o przetwarzaniu ich danych osobowych oraz braku odpowiednich podstaw prawnych do przetwarzania tych danych.

Opis wydarzeń

1. Wszczęcie postępowania: AEPD rozpoczęła procedurę sankcyjną, proponując karę w wysokości 6,5 miliona euro.
2. Odpowiedź CAIXABANK: Bank twierdził, że dostarczył klientom wszystkie wymagane informacje zgodnie z RODO i że klienci zrozumieli te informacje.
3. Zarzuty CAIXABANK: Bank zażądał unieważnienia postępowania, argumentując naruszenie prawa do domniemania niewinności, naruszenie zasady zaufania, brak możliwości obrony oraz przedawnienie postępowania.
4. Propozycje AEPD: Agencja zaproponowała środki mające na celu dostosowanie operacji przetwarzania danych, informowania klientów i procedur uzyskiwania zgody do przepisów o ochronie danych.
5. Obrona CAIXABANK: Bank twierdził, że nie przeprowadzał zautomatyzowanych procesów decyzyjnych mających znaczący wpływ na osoby, których dane dotyczą, oraz że działania AEPD spowodowały brak możliwości obrony.
6. Przejrzystość i współpraca: CAIXABANK podkreślił, że był transparentny w swoich działaniach związanych z przetwarzaniem danych i współpracował z AEPD w celu naprawienia ewentualnych niedociągnięć.

Źródło

Pełna treść decyzji organu nadzorczego

Aby uniknąć podobnych naruszeń, zalecamy:

1. Poprawa przejrzystości: Dostarczenie klientom jasnych, precyzyjnych i wyczerpujących informacji dotyczących przetwarzania ich danych osobowych.
2. Zgodność z RODO: Dostosowanie operacji przetwarzania danych do wymogów RODO, w tym uzyskiwanie ważnej zgody od klientów oraz zapewnienie, że przetwarzanie danych oparte jest na odpowiednich podstawach prawnych.
3. Ochrona prywatności: Wprowadzenie dodatkowych zabezpieczeń w celu ochrony prywatności klientów, zwłaszcza w kontekście wykorzystywania danych z mediów społecznościowych i usług agregacyjnych.
4. Przestrzeganie praw klientów: Zapewnienie, że prawa klientów do sprzeciwu wobec przetwarzania ich danych są respektowane i że klienci są informowani o okresach przechowywania danych oraz celach przetwarzania.

Jeśli potrzebujesz wsparcia w zakresie ochrony danych osobowych, zapraszamy do kontaktu