СКАНДАЛ: Хрватска банка кажњена 1.5 милиона €

Након пријема жалбе од испитаника, који је навео да се приликом коришћења мобилног банкарства прикупљају листе свих инсталираних апликација и програма на мобилним уређајима клијената, Агенција је покренула поступак по службеној дужности због могуће активности обраде која није у складу са одредбама Опште уредбе о заштити података у односу на велики број испитаника.

Утврђено је да банка обрађује личне податке 433.922 испитаника (корисника) путем софтверског решења имплементираног у оквиру апликације за мобилно банкарство, без правног основа из члана 6. став 1. у вези са чланом 5. став 1. тачка а) Опште уредбе о заштити података.

Конкретно, банка је имплементирала програм у оквиру апликације за мобилно банкарство за оперативне системе Андроид и Хуавеј, који скенира садржај мобилног уређаја и преноси и чува, између осталог, листу свих инсталираних апликација и програма у централизованој бази података банке, што представља значајно, прекомерно и неоправдано задирање у приватност, преноси Јутарњи.

Током поступка надзора, банка је навела да правни основ за прикупљање листе свих инсталираних апликација и програма произилази из Делегиране уредбе, као и Закона о платном промету, који не садрже никакву формулацију или намеру која би оправдала прикупљање, односно чување листе свих инсталираних апликација на мобилном уређају испитаника.

Штавише, приликом уговарања услуге мобилног банкарства, банка није корисницима пружила транспарентне информације о обради њихових личних података, чиме није успела да обезбеди усклађеност са захтевима чланова 12 и 13, у вези са чланом 5(1)(а) Опште уредбе о заштити података.

Наиме, приликом преузимања апликације, корисник има могућност да приступи информацијама о обради личних података путем доступног линка, али је он намењен посетиоцима веб странице банке и ни на који начин се не односи нити помиње информације о обради личних података путем апликације за мобилно банкарство. Предметна обрада личних података је врло кратко поменута у Информацији о обради података.

Као резултат тога, банка није пружила адекватне информације о обради личних података у вези са обрадом личних података путем апликације за мобилно банкарство, а посебно у вези са прикупљањем листе свих инсталираних апликација на мобилном уређају корисника, те је предметна обрада у том делу спроведена практично тајно, а испитаници су имали знатно отежан приступ битним информацијама о подацима прикупљеним од њих.

Коначно, приликом избора или дизајнирања софтверског решења, банка није спровела одговарајуће техничке и организационе мере како би осигурала да се само лични подаци који су неопходни за сврху обраде обрађују на интегрисан начин, чиме није успела да обезбеди усклађеност са захтевима члана 25. став 2., у вези са чланом 5. став 1. тачка ц) Опште уредбе о заштити података.

Банка је могла и требало је да имплементира решење које мање задире у приватност испитаника, на пример решење које би централно складиштило само информације о апликацијама које се налазе на „црној листи“, што би мање задирало у приватност испитаника, уместо листе свих инсталираних програма и апликација на мобилном уређају.

Треба напоменути да банка обрађује прекомерну количину личних података у оквиру предметне активности и не узима у обзир да одређене апликације могу откривати или се позивати на личне податке, укључујући посебне категорије података (нпр. податке о здрављу, политичким или верским уверењима или сексуалној оријентацији). Ово додатно потврђује да имплементирано решење није постављено на начин који обезбеђује обраду само неопходних и сразмерних података у односу на сврху обраде.

Ово је тринаеста административна казна коју је Агенција изрекла у 2025. години, а укупан износ казни ове године износи 6.723.000,00 евра.

Агенција за заштиту личних података