Sąd potwierdza karę UODO dla Toyota Bank Polska za brak niezależności IOD i błędy w profilowaniu danych

Decyzja UODO oraz jej sądowe podtrzymanie pokazują, że inspektor ochrony danych musi być podporządkowany bezpośrednio najwyższemu kierownictwu, bez jakichkolwiek zależności służbowych wobec innych członków kadry zarządzającej, zwłaszcza odpowiedzialnych za procesy przetwarzania danych.

W sprawie Toyota Banku ujawniono, że bank stosuje zaawansowane techniki profilowania w celu oceny ryzyka kredytowego klientów. Tymczasem tego typu operacje nie były wykazywane w rejestrze czynności przetwarzania danych i nie zostały uwzględnione w ocenie skutków dla ochrony danych, co stanowi naruszenie istotnych wymogów RODO.

Dla branży finansowej decyzja ta oznacza konieczność audytu oraz aktualizacji rejestrów czynności przetwarzania i procedur oceny skutków – szczególnie w zakresie operacji profilowania klientów i ryzyka kredytowego. Zapewnienie pełnej niezależności IOD powinno stać się stałym standardem compliance.

WSA podkreślił, że brak właściwej oceny skutków profilowania dla bezpieczeństwa danych osobowych jest poważnym naruszeniem. Administrator musi nie tylko identyfikować operacje profilowania, ale też przewidywać ich konsekwencje dla ochrony danych i wdrażać odpowiednie środki zapobiegawcze.