Испанският надзорен орган разпорежда на администратора да приведе операциите по обработване в съответствие с разпоредбите на GDPR в рамките на шест месеца
Испанският надзорен орган започва проверка на CAIXABANK PAYMENTS & CONSUMER след индикации, че може да има неправилна практика по отношение на автоматизираното профилиране и вземане на решения на администратора в контекста на неговата търговска дейност – финансова институция.
Бизнесът се състои от маркетинг на кредитни или дебитни карти, кредитни сметки с или без карта и заеми чрез три канала: директно чрез него (т.е. плащания от Caixabank); чрез агент (La Caixa); чрез посредници (точки за продажба, с които си сътрудничи – например IKEA).
В рамките на своята търговска дейност Caixabank прави профили с цел анализ на риска от неизпълнение при кандидатстване за продукт; анализ на риска от неизпълнение по време на кандидатстване за продукт; и избор на целева аудитория.
Съгласието се изисква в различните канали на посредниците и агентите за целите на проучването и профилирането. По този начин се изисква съгласие със следните условия: „Разрешавам на CaixaBank Group да използва моите данни за целите на проучването и профилирането“.
В този случай на заинтересованата страна се предоставя само обща информация за различните процедури за профилиране и с така заинтересованата страна не може да знае точно за какво третирате се съгласява. Нито има разпоредба заинтересованото лице да изрази своя избор за всички цели, за които се обработват данните.
AEPD мотивира глобата от 3 млн. евро с размера на оборота на предприятието – 872 976 000 евро през 2019 г. Оборотът на CaixaBank Group към 31 декември 2020 г. е 12172 млн . евро.
Оборотът на CaixaBank Group е посочен с информационна цел, за да се подчертае, че глобата е пропорционална и възпираща, както се изисква от GDPR, пише в решението.
Обработвани са големи обеми данни: идентификационни, финансови, социално-демографски и социално-икономически, които позволяват да се направи изчерпателен профил на заинтересованите страни.
На своите клиенти е трябвало да предоставят съответната информация относно обработване на техните данни. Според AEPD информацията не е била адекватна, затова не може да се счита за смекчаваща вината.
Не са приети и мерките в политиката за поверителност в сайта.