Agencija za zaštitu osobnih podataka u petak je izrekla novčanu kaznu od 4,5 milijuna eura zbog teških povreda Opće uredbe o zaštiti podataka (GDPR) teleoperatoru Telemach.
“Nakon postupka koji je proveden po službenoj dužnosti, Agencija za zaštitu osobnih podataka izrekla je upravnu novčanu kaznu teleoperatoru (operatoru elektroničkih komunikacijskih mreža i usluga), kao voditelju obrade, u ukupnom iznosu od 4.500.000,00 eura zbog povreda odredaba Opće uredbe o zaštiti podataka i to u pogledu transfera osobnih podataka u treće zemlje bez valjanog instrumenta i bez transparentnog informiranja ispitanika, te obrade preslika osobnih iskaznica i uvjerenja o ne vođenju kaznenog postupka zaposlenika bez pravne osnove, kao i nepoduzimanja odgovarajuće prethodne kontrole izvršitelja obrade”, naveli su u prioćenju iz AZOP-a.
Tvrde kako je voditelj obrade prenosio osobne podatke svojih korisnika uvozniku podataka (izvršitelju obrade) u Republici Srbiji (društvu unutar grupacije koje je održavalo softver) te je prijenos temeljio na standardnim ugovornim klauzulama od 16.04.2020. do najkasnije 27.12.2022. godine.
‘Mogli su pristupiti svim podacima’
Nakon tog datuma nisu sklopili standardne ugovorne klauzule s izvršiteljem obrade u Republici Srbiji, što znači da se nakon navedenog datuma prijenos osobnih podataka ispitanika odvijao bez odgovarajućih zaštitnih mjera.
To je značilo da je izvršitelj obrade iz Republike Srbije mogao pristupati cijeloj SAP CRM bazi i to s administratorskim ovlastima, odnosno imao je neograničene ovlasti pristupu osobnim podacima (njih ukupno 847.862) ispitanika/korisnika usluga voditelja obrade, odnosno da je mogao pristupati sljedećim osobnim podacima korisnika: ime i prezime, OIB, adresa s osobne iskaznice, adresa priključka, adresa za slanje računa, kontakt broj, adresa elektroničke pošte, IBAN (kod korisnika s ugovorenim SEP nalogom za izravno terećenje), MSISDN (telefonski broj povezan s jednom SIM karticom), ICCID (serijski broj koji identificira svaku SIM ili eSIM karticu) te podaci o ugovorenim uslugama korisnika.
“Osim toga, voditelj obrade nije proveo Procjenu rizika za prijenos osobnih podataka u Republiku Srbiju, a što je bio dužan učiniti prije početka prijenosa osobnih podataka u treću zemlju. Navedena postupanja protivna su odredbi članka 44. u vezi s člankom 46. stavkom 1. Opće uredbe o zaštiti podataka.
‘Prekomjerna obrada osobnih podataka’
O navedenom prijenosu u Republiku Srbiju, zemlju izvan Europskog gospodarskog prostora, voditelj obrade nije niti informirao ispitanike, sukladno obvezi iz članka 13. stavka 1. točke (f) Opće uredbe o zaštiti podataka. Pregledom politika privatnosti utvrđeno je kako voditelj obrade nije koristio jasne jezične formulacije da se osobni podaci ispitanika prenose izvan EGP, već je koristio formulacije poput „možda“ će se osobni podaci dijeliti u treće zemlje ili da se osobni podaci u pravilu obrađuju na području Europske unije, a samo iznimno izvan Europske unije, što je protivno odredbi članka 12. stavka 1. Opće uredbe o zaštiti podataka”, navodi se u priopćenju.
Tereti se da je voditelj obrade prekomjerno obrađivao osobne podatke svojih zaposlenika odnosno prikupljao je preslike njihovih osobnih iskaznica, a prikupljane su i potvrde o ne vođenju kaznenog postupka svojih zaposlenika, a protivno odredbi članka 6. stavka 1. te s tim u svezi članka 5. stavka 1. točke (b) te stavka 2. Opće uredbe o zaštiti podataka.
Naposljetku, izvršitelj obrade kojeg je angažirao voditelj obrade za potrebe usluge telefonske prodaje usluga, nije imao implementirane niti osnovne mjere zaštite, a što je voditelj obrade bio dužan provjeriti još prije početka obrade osobnih podataka sukladno članku 28. stavku 1. Opće uredbe o zaštiti podataka, odnosno voditelj obrade nije proveo prethodnu kontrolu poštivanja mjera zaštite izvršitelja obrade prije njegova angažiranja.
‘Nije bilo nikakvog curenja podataka’
S druge strane, Telemach Hrvatska (tvrtka u vlasništvu United Grupe sa sjedištem u Nizozemskoj) u odgovoru AZOP-u navode da “oštro odbacuju navode objavljene na internetskoj stranici AZOP-a i pojedinim medijima te najavljuje da će poduzeti sva raspoloživa pravna sredstva u svrhu zaštite prava, integriteta i reputacije kompanije”.
“U slučaju koji navodi AZOP nije došlo do povrede podataka. Podaci nisu prosljeđivani izvan Hrvatske niti EU-a te su pohranjeni isključivo na području Republike Hrvatske, sigurni su i nije bilo nikakvog curenja. Naime, riječ je o poslovnoj suradnji unutar United Grupe, u čijem sastavu posluje i Telemach.
“Kompanije, koje su dio Grupe, sudjeluju u održavanju i razvoju poslovnih sustava, što u određenim situacijama uključuje pristup pojedinih stručnjaka izvan Hrvatske navedenim sustavima. Sustavu se pristupalo isključivo u tehničke svrhe i pod točno određenim sigurnosnim uvjetima.
‘Svi korisnički podaci pohranjeni su i zaštićeni’
Poslovne funkcije koje se odvijaju na razini United Grupe ne uključuju prijenos korisničkih podataka, već isključivo tehnički nadzor i razvoj sustava u strogo kontroliranim uvjetima te u skladu s najboljim tehničko-sigurnosnim europskim standardima. Napominjemo, svi korisnički podaci pohranjeni su i zaštićeni u Republici Hrvatskoj”, navodi se u priopćenju Telemacha.
Dodali su i kako posluju u visoko reguliranom telekom sektoru, u skladu s najvišim standardima zaštite podataka, da redovito provode revizije i edukacije te imaju sve ISO certifikate, kao i posebnu službu i politike za zaštitu osobnih podataka te godišnje procjene rizika.
Navode osim toga da su tijekom nadzora bili potpuno transparentni i suradljivi te da ih je iznenadio način dostave rješenja, za koji tvrde da nije u skladu s propisima i da im šteti ugledu i poslovanju, pa će iskoristiti sva pravna sredstva. Dodatno su naglasili da su podaci korisnika sigurni te da nikad nije bilo zloporabe ni curenja podataka.
