Agencija za zaštitu osobnih podataka izrekla je upravnu novčanu kaznu banci, kao voditelju obrade u ukupnom iznosu od 1.500.000,00 eura zbog višestrukih kršenja odredbi Opće uredbe o zaštiti podataka.
Nakon zaprimanja predstavke ispitanika koji je naveo kako se prilikom korištenja mobilnog bankarstva prikupljaju popisi svih instaliranih aplikacija i programa na mobilnim uređajima klijenata, Agencija je pokrenula postupak po službenoj dužnosti zbog moguće aktivnosti obrade koja nije u skladu s odredbama Opće uredbe o zaštiti podataka u odnosu na veći broj ispitanika.
Utvrđeno je da banka obrađuje osobne podatke 433 922 ispitanika (korisnika) putem programskog rješenja implementiranog unutar aplikacije mobilnog bankarstva bez pravne osnove iz članka 6. stavka 1. u vezi s člankom 5. stavkom 1. točkom a) Opće uredbe o zaštiti podataka.
Nisu pružili transparentne informacije korisnicima
Konkretno, banka je implementirala program unutar aplikacije mobilnog bankarstva za Android i Huawei operativne sustave, koji skenira sadržaj mobilnog uređaja te prenosi i pohranjuje, između ostaloga, i popis svih instaliranih aplikacija i programa u centraliziranu bazu podataka banke, što predstavlja izraziti, prekomjeran i neopravdan upliv u privatnost.
Tijekom nadzornog postupanja banka je navodila kako pravna osnova za prikupljanje popisa svih instaliranih aplikacija i programa proizlazi iz Delegirane uredbe, kao i Zakona o platnom prometu, a koji ne sadrže formulaciju, niti intenciju koja bi opravdala prikupljanje, odnosno pohranjivanje popisa svih instaliranih aplikacija na mobilnom uređaju ispitanika.
Nadalje, prilikom ugovaranja usluge mobilnog bankarstva banka nije pružila transparentne informacije korisnicima o obradi njihovih osobnih podataka, čime nije osigurala poštivanje zahtjeva iz članaka 12. i 13., a u svezi s člankom 5. stavkom 1. točkom a) Opće uredbe o zaštiti podataka.
‘Banka je mogla i morala’
Predmetna obrada osobnih podataka spominje se izrazito šturo i u Informacijama o obradi podataka. Slijedom navedenog, banka nije pružila adekvatne informacije o obradi osobnih podataka u odnosu na obradu osobnih podataka putem aplikacije mobilnog bankarstva, a posebice vezano za prikupljanje popisa svih instaliranih aplikacija na mobilnom uređaju korisnika te je predmetna obrada održana u tom dijelu praktički u tajnosti, a ispitanicima je znatno otežan pristup bitnim informacijama o podacima koji se od njih prikupljaju.
Naposljetku, prilikom izbora odnosno dizajniranja programskog rješenja banka nije provodila odgovarajuće tehničke i organizacijske mjere kojima se osigurava da na integrirani način budu obrađeni samo osobni podaci koji su nužni za svrhu obrade, čime banka nije osigurala poštivanje zahtjeva iz članka 25. stavka 2., a u vezi s člankom 5. stavkom 1. točkom c) Opće uredbe o zaštiti podataka.
Banka je mogla i morala implementirati rješenje koje manje zadire u privatnost ispitanika, primjerice rješenje koje bi centralizirano pohranjivalo samo informacije o aplikacijama koje su na „crnoj listi“ čime bi se u manjoj mjeri zadiralo u privatnost ispitanika, a ne popis svih instaliranih programa i aplikacija na mobilnom uređaju.
Trinaesta izrečena kazna Agencije ove godine
Potrebno je istaknuti da banka u okviru predmetne aktivnosti obrađuje prekomjernu količinu osobnih podataka te pri tome ne uzima u obzir da pojedine aplikacije mogu otkrivati ili upućivati na osobne podatke, uključujući i posebne kategorije podataka (npr. podatke o zdravlju, političkim ili vjerskim uvjerenjima ili seksualnoj orijentaciji).
Time se dodatno potvrđuje da implementirano rješenje nije postavljeno na način koji osigurava obradu samo nužnih i proporcionalnih podataka u odnosu na svrhu obrade.
Ovo je trinaesta upravna novčana kazna koju je Agencija izrekla u 2025. godini, pri čemu ukupan iznos kazni u ovoj godini iznosi 6.723.000,00 eura. Spomenimo na kraju kako ovo vjerojatno nije konačni kraj. Voditelj obrade može pokrenuti upravni spor pred nadležnim upravnim sudom u roku od 30 dana od dana dostave rješenja.
