Firma windykacyjna musi zapłacić ponad 5 mln za liczne naruszenia ochrony danych

Chorwacka firma windykacyjna EOS Matrix d.o.o. w sposób nieuprawniony przetwarzała dane osobowe dłużników. Przetwarzaniu podlegały dane ponad 181 tys. osób w postaci:

• imienia i nazwiska,

• daty urodzenia,

• numerów ID (odpowiedników PESEL).

Były to dane dłużników w zakresie wierzytelności przejętych przez firmę windykacyjną.

Mimo przetwarzania danych osobowych w tak znacznym zakresie administrator nie wdrożył środków bezpieczeństwa danych pozwalających wykryć zagrożenie np.:

• zwiększoną liczbę wyszukiwań danych w bazie,

• transfer danych poza system,

• naruszenie dostępu użytkowników.

Poza tym jak się okazało, przetwarzane były dane osobowe nie tylko dłużników. W tym zakresie stwierdzono brak podstawy przetwarzania. Wreszcie chorwacki organ nadzorczy zarzucił firmie windykacyjnej przetwarzanie danych osobowych o stanie zdrowia dłużników bez podstawy prawnej wynikającej z art. 9 ust. 2 RODO. Co więcej, administrator w politykach prywatności deklarował, że takich danych nie przetwarza. W ten sposób naruszona była reguła przejrzystości, bowiem administrator nie informował o przetwarzaniu danych szczególnej kategorii.

To jednak nie wszystko. Stwierdzono również, że firma windykacyjna nagrała rozmowy telefoniczne blisko 50 tys. osób bez podstawy prawnej.

• Edpb.europa.eu