De ce a fost anulata amenda de 80.000 de euro primita de ING dupa dublarea platilor facute cu cardul

Autoritatea Nationala de Supraveghere a Datelor cu Caracter Personal (ANSPDCP) a amendat in noiembrie 2019 ING Bank cu 80.000 de euro pentru incalcarea regulamentului GDPR. ING a contestat amenda in instanta, iar Tribunalul Bucuresti a anulat sanctiunea. Sentinta nu este definitiva.

In noiembrie 2019, ANSPDCP anunta ca a amendat ING Bank cu 80.000 de euro pentru ca "a incalcat prevederile art. 25 alin. (1) coroborat cu art. 5 alin. 1 lit. f) din RGPD". Investigatia asupra bancii a fost declansata dupa ce platile cu cardul ale mai multor clienti au fost dublate.

"Operatorul nu a asigurat respectarea principiului protectiei datelor incepand cu momentul conceperii si cel al protectiei implicite a datelor (privacy by design si privacy by default), intrucat nu a procedat la adoptarea de masuri tehnice si organizatorice corespunzatoare, privind integrarea de garantii adecvate in sistemul automatizat de prelucrare a datelor in cadrul procesului de decontare al tranzactiilor cu cardul, fiind afectat un numar de 225.525 de clienti ale caror operatiuni de plata au fost dublate in perioada 8-10.10.2018", anunta Autoritatea de Supraveghere a Datelor cu Caracter personal dupa aplicarea amenzii.

Sanctiunea, contestata in instanta

Printr-un proces deschis la Tribunalul Bucuresti, ING a dat in judecata ADSPDCP cerand anularea amenzii de 80.000 de euro. In proces, ING a aratat ca "incidentul operational din data de 08.10.2018 vizat de investigatie se refera la dublarea anumitor operatiuni de plata efectuate cu carduri bancare emise de Ing Bank, ca urmare a unei erori umane ce a condus la procesarea de doua ori a fisierului de plati".

Banca a mai aratat in proces ca pentru decontarea platilor cu cardul sunt procesate fisiere de plati individualizate pentru fiecare zi calendaristica continand tranzactiile cu cardul aferente zilei respective.

In cazul tranzactiilor efectuate in zilele de sambata si duminica sau in zilele de sarbatoare legala, tranzactiile sunt inregistrate in cadrul cate unui astfel de fisier si fisierele respective sunt procesate in cursul zilei de luni sau in prima zi lucratoare ulterioara sarbatorii legale, astfel ca in aceste zile sunt procesate mai multe astfel de fisiere in aceeasi zi.

ING a mai aratat ca incidentul cu dublarea platilor a avut loc din cauza ca in aplicatia interna doi angajati au procesat un fisier de plati in paralel. "Cei doi angajati ai ING Bank sunt persoane autorizate si au atributii de procesare a fisierelor de plati, conform fisei postului, iar incidentul operational nu a afectat datele cu caracter personal apartinand persoanelor ale caror tranzactii au fost dublate", au sustinut reprezentantii bancii in proces.

De ce a fost anulata amenda

In urma procesului, Tribunalul Bucuresti a anulat amenda de 80.000 de euro aplicata ING, care a primit si o amenda de 20.000 de lei de la Protectia Consumatorului, aratand ca "din inscrisurile depuse la dosar reiese ca datele cu caracter personal ale clientilor ING au ramas neafectate de incidentul operational".

"Acesta nu a determinat divulgarea datelor cu caracter personal ale clientilor ING Bank catre terte parti neautorizate si nici vreun alt fel de acces neautorizat la datele cu caracter personal ale clientilor ING Bank. Aspectul legat de dublarea acelorasi informatii corecte, a caror exactitate nu a fost in vreun fel alterata/deteriorata dublarea informatiei nu echivaleaza cu alterarea/deteriorarea informatiei, acest fapt rezultand din faptul ca ING a reusit in aproximativ 12 ore de la incident sa reverseze tranzactiile dublate", arata Tribunalul Bucuresti.

Judecatorii au mai aratat ca avand in vedere ca datele cu caracter personal ale clientilor ING Bank nu au fost afectate, nu exista un prejudiciu, iar in ce priveste riscurile de natura operationala, efectele acestora au fost inlaturate prin masurile de atenuare si remediere luate.

"Instanta retine ca ING Bank a luat masuri adecvate pentru a asigura securitatea activitatilor de prelucrare a datelor cu caracter personal, dat fiind faptul ca anterior datei de 08.10.2018 nu au mai existat alte astfel de incidente operationale.

In situatia in care la nivelul ING Bank nu ar fi fost implementate masuri tehnice sau organizatorice adecvate potrivit principiului stabilit la art. 5 alin. (1) lit. f) din RGPD, reclamanta nu ar fi putut sa identifice imediat incidentul operational, sa procedeze la analiza acestuia si sa evalueze riscurile, sa informeze clientii ING Bank prin mai multe canale de comunicare si sa remedieze in aproximativ 6 ore efectele produse de respectivul incident", a mai aratat Tribunalul Bucuresti, in sentinta de anulare a amenzii, care nu este definitiva, fiind atacata cu apel la Curtea de Apel Bucuresti.

• VIDEO Sexy-peremista din AUR, care l-a acuzat in trecut pe Vadim Tudor ca a vrut sa o violeze, propusa pentru arestare intr-un dosar de proxenetism
• Riscuri la pensionare (II): inflatia iti mananca economiile de-o viata
• Senatorul AUR Lavric povesteste culisele excluderii Dianei Sosoaca din partid: "A tipat la mine, altercatia a continuat in biroul lui Tarziu. Ne-a insultat"
• Lista celor mai scandaloase sporuri inventate pentru bugetarii romani: 15% pentru titlul de doctor sau 200% pentru dificultatea misiunii
• Cat de ipocrita este motiunea impotriva lui Vlad Voiculescu. Bilantul care indica PSD drept marele gropar al Sanatatii

Prințul și complotiștii. Începe mega-procesul rețelei de extremă-dreapta ce pregătea o lovitură de stat în Germania

Un fost soldat, un teoretician al conspirației, un astrolog și un antivaccinist se numără printre primele 27 de persoane judecate pentru încercarea de a răsturna prin violență guvernul...

Șofer prins beat la volan și gonind cu 143 de kilometri pe oră pe DN2 - E85. Amenda uriașă primită de conducătorul auto

Un şofer sub influenţa băuturilor alcoolice a fost prins de poliţişti conducând cu viteza de 143 kilometri pe oră pe DN2 - E85, a informat, duminică, Inspectoratul de Poliţie Judeţean...