Ирландският надзорен орган откри нарушения на чл. 32, чл. 33 и чл. 34 на GDPR
Комисията за защита на данните (DPC) публикува 63 страници решение за налагане на глоби от 463 000 евро на Bank of Ireland Group plc (BOI). Открити са нарушения на член 32, параграф 1 от GDPR и някои от нарушенията на членове 33 и 34 от GDPR.
Решението нарежда на BOI да приведе обработката си в съответствие с член 32, параграф 1 от GDPR, както и да направи определени промени в своите технически и организационни мерки.
Разследване започва с 22 уведомления за нарушаване на сигурността на личните данни, които DPC получава между ноември 2018 г. и 27 юни 2019 г.
Уведомленията са свързани с установени „грешки“ в информацията, подадена от BOI към Централния кредитен регистър (CCR), централизирана система, която събира и сигурно съхранява информация за заеми. Инцидентите включват неоторизирано разкриване на лични данни на клиентите в CCR и случайни промени на лични данни на клиента в CCR.
Решението установи нарушения на следните разпоредби на GDPR:
Член 33 от GDPR, който изисква администраторите да докладват на DPC за нарушения на личните данни при определени обстоятелства, е нарушен от BOI по отношение на 17 от докладваните инциденти. Нарушенията са различни по отношение на всяко нарушение на сигурността на личните данни. При редица инциденти член 33, параграф 1 беше нарушен поради неуспеха от страна на BOI да докладва без ненужно забавяне нарушението на сигурността на личните данни. Член 33, параграф 3 също беше нарушен поради неспособността на BOI да предостави достатъчно подробности на DPC по отношение на някои нарушения на сигурността на личните данни;
Член 34 от GDPR, който изисква администраторите да докладват за нарушения на личните данни на субектите на данни при определени обстоятелства, беше нарушен от BOI по отношение на 14 от докладваните инциденти. Нарушенията се отнасят до неуспех от страна на BOI да изпрати съобщения до субектите на данни без ненужно забавяне при обстоятелства, при които е вероятно нарушенията на личните данни да доведат до висок риск за правата и свободите на субектите на данни; и
Член 32, параграф 1 от GDPR е бил нарушен от BOI, като не е приложил подходящи технически и организационни мерки за гарантиране на ниво на сигурност, подходящо за риска, представен от обработката на клиентски данни при прехвърлянето на информация към CCR.
В решението пише, че над 50 000 субекти на данни са били засегнати от различните нарушения на личните данни, поради погрешно разкриване на информацията в регистъра.