Bankot bírságolt meg elsőként a román adatvédelmi hatóság

Bő egy év türelmi idő után megszületett az első romániai bírságolás az Európai Unió általános adatvédelmi rendeletének be nem tartása miatt. Az adatvédelmi hatóság mintegy 130 ezer euróra bírságolta az UniCredit Bankot.

Az UniCredit visszaélt a felhasználók bizalmával, amikor láthatóvá tette a címüket Fotó: Jaap Arriens Forrás: Europress/AFP

Meghozta az európai uniós általános adatvédelmi rendelet (GDPR) megsértése miatti bírságról szóló első döntését a romániai adatvédelmi hatóság. Az olasz gyökerű UniCredit Banknak 130 ezer eurót (közel 43 millió forint) kell fizetnie, miután nem megfelelően kezelte ügyfelei adatait. A nem csak a hatalmas összeg okán példaértékűnek számító bírság legalább két fontos dologra hívja fel a figyelmet. Az egyik, hogy a bankok is csak célzottan és az adott célhoz rendelt legszükségesebb adatokat kezelhetnek, a másik, hogy a romániai ügyintézésnél korábban nyakló nélkül – sok esetben épp az állami intézetek, hivatalok, hatóságok által – igényelt személyi azonosító szám különleges személyi adat, amelynek kezelésénél szigorú adatbiztonsági intézkedéseket kell betartani, és csak indokolt esetben igényelhető az érintett személytől.

Magyarországon egyébként a személyi szám általános használatát az Alkotmánybíróság 1991-es döntése a személyes adatok védelme érdekében megtiltotta, ám csak 1995-től szorították vissza a használatát költséghatékonysági okokból.

Az UniCredit visszaélt a felhasználók bizalmával, amikor láthatóvá tette a címüket
Fotó: Europress/AFP

A bíróság indoklása szerint az Uni­Credit Bank visszaélt ügyfelei ada­taival, a kliensek személyi száma például olyanokhoz is eljutott, akikhez nem kellett volna vagy nem feltétlenül lett volna rá szükség. A pénzintézet ugyanakkor megsértette a GDPR azon pontját is, amely szerint csak azok az adatok kezelhetők, amelyek feltétlenül szükségesek az adott cél megvalósításához. Ehhez képest a bank által lebonyolított online fizetések során a fizetési kivonaton a kedvezményezett láthatta a fizető fél címét és a személyi azonosító számát is, ha a fizető félnek más pénzügyi intézetnél volt számlája. Belső rendszerű fizetések esetén pedig a fizető fél címe vált nyilvánossá.

A román adatvédelmi hatóság lépését mérföldkőnek tekintik az általános adatvédelmi rendelet alkalmazásában, ami azt jelzi, hogy a hatóság szerint az adatkezelőknek és az adatfeldolgozóknak elegendő idejük volt a rendelet alkalmazásának bevezetésére, a joggyakorlat tanulmányozására, és innentől kezdve élesben megy a játék.

A 2016 óta érvényben lévő GDPR tényleges alkalmazását kétéves felkészülési időszak előzte meg, és elvileg 2018. május 25-től vált kötelezővé az alkalmazása. A folyamat nemcsak Romániában, hanem más európai országokban is nyögvenyelős volt, a személyi adatvédelem fontosságának tudatosítása terén valójában EU-szerte csak a fenti határidő után kapcsoltak nagyobb sebességre. Az elmúlt egy év során a romániai adatvédelmi hatóság körülbelül ezer ügyet vizsgált ki, ezek közül 496 az érintett személyek panasza nyomán indult. Pénzbírságot azonban ez idáig nem szabtak ki, mindössze 57 esetben rendeltek el korrigáló intézkedéseket, 23 alkalommal pedig figyelmeztetéshez folyamodtak.

A türelmi időszakban gombamód szaporodtak el a gazdasági vagy nonprofit szervezetek adatvédelmi rendszerének EU-konformmá tételét felajánló cégek, amelyek szolgáltatásaik bemutatása során soha nem mulasztották el felhívni a figyelmet a várható bírságok csillagászati léptékéről. A fokozatosan a pánikhoz közelítő hangulat következtében egyes források szerint az érintettek több mint hetven százaléka folyamodott szakértő cég szolgáltatásaihoz vagy küldte alkalmazottait képzésre.

A kockázatoknak leginkább kitett vállalatok a bankok, a pénzintézetek, az egészségügyi intézetek, a büntetőeljárásokért és a büntetésalkalmazásért felelős hatóságok. Ezek az intézmények kezelik ugyanis a legérzékenyebb személyes adatokat, különösen fontos hát, hogy betartsák az adatbiztonságra vonatkozó előírásokat, a törvény betűjének való megfelelésen túl ténylegesen garantálni tudják a polgárok személyi adatainak védelmét. Érintettek még azok a pártok, civil szervezetek, intézetek is, amelyek etnikai, politikai, vallási, egyéb hovatartozásra vonatkozó adatokat kezelnek.