Агенцията за събиране на вземания отрича пробив в системите си
Хърватската Агенцията за защита на личните данни (AZOP) наложи глоба в размер на 5 470 000,00 EUR (41 213 715,00 HRK) на EOS Matrix doo като администратор на данни поради следните нарушения на GDPR:
- Администраторът не е предприел подходящи технически мерки за защита на обработването на личните данни на субектите на данни, съдържащи се в системите за съхранение, което противоречи на член 32, параграф 1, буква „б“ и параграф 2 от Общия регламент относно защитата на данните.
- Администраторът обработва личните данни на субекти на данни, които не са в правоотношение длъжник-кредитор, в своята база данни (заявление) без да е налице правно основание по чл. 6, пар. 1 от GDPR.
- Администраторът е обработвал лични данни от специална категория (здравни данни) на субекта на данните в своята база данни (приложение) без да е налице правно основание по чл.6, пар. 1 и във връзка с това чл. 9, пар. 2 от GDPR.
- Администраторът на данни не е информирал субектите на данни по прозрачен и подходящ начин за обработката на неговите здравни данни в политиките за поверителност, което противоречи на член 12, параграф 1 от GDPR и в тази връзка на член 13, пар. 1 и 2 GDPR.
- За записа на телефонни разговори със субекти на данни в периода от 25.05.2018 г. до 16.01.2019 г. администраторът не е имал установено правно основание от чл. 6, ал. 1 от Общия регламент относно защитата на данните и във връзка с посочено по-горе, има нарушение на член 5, параграф 2 от GDPR.
- Администраторът не е информирал субектите на данни по разбираем и ясен начин за обработването на лични данни под формата на запис на телефонни разговори, с което е действал в нарушение на чл. 12, пар. 1 от GDPR.
На 22 март 2023 г. AZOP получава анонимна жалба, в която се посочва, че EOS Matrix doo обработва неразрешено голям брой лични данни на физически лица (длъжници). Към жалбата има USB памет с лични данни на 181 641 физически лица – собствено и фамилно име, дата на раждане и ЕГН, с непогасени задължения към първоначални кредитори, изкупени от EOS Matrix doo въз основа на договор за цесия. Също така във въпросната жалба се посочва, че базата данни включва 294 физически лица, които към момента на съставянето й са били непълнолетни.
При проверката на AZOP се установява, че администраторът на данни не е приложил достатъчни технически мерки за защита, които да могат своевременно да разпознаят в системата за обработка (основната база данни, в която се обработват лични данни на около 370 000 субекта на данни) дейности, които се отклоняват от обичайните (напр. увеличен брой извличания данни от базата данни, прехвърляне на данни извън системата, компрометиране на потребителския достъп и др.). Системата, която може да предупреждава за аномалии в системата за обработка и да информира компетентните лица за това чрез аларма и/или да инициира автоматизирана мярка за предотвратяване на по-нататъшни възможни неразрешени дейности, е внедрена едва през 2021 г. Именно поради недостатъци в системата за сигурност компанията губи контрол върху личните данни на голям брой субекти на данни. Администраторът на данни не е приложил подходящи технически мерки за осигуряване на адекватно ниво на сигурност с оглед на риска в съответствие с разпоредбите на член 32 от GDPR.
В надзорното производство е установено, че EOS Matrix doo обработва и лични данни на лица, които не са длъжници (най-често телефонен номер и собствено и фамилно име и адрес по местоживеене), нито законни представители на наследници в правоотношения длъжник-кредитор, както и за които не е имало правно основание по чл. 6, пар. 1 от GDPR личните им данни да бъдат въведени в базата данни и допълнително обработвани с цел събиране на вземания на длъжници.
По отношение на обработката на здравни данни беше установено, че EOS Matrix doo след комуникация със субектите на данни, активно записва коментари, свързани със здравословното състояние на длъжника във вътрешната база данни. AZOP определя като особено тревожна ситуацията, при която здравословното състояние на субектите е проследявано до детайлите на индивидуалните диагнози, включващи терминални заболявания, което разкрива максимално личния живот пред тези, които имат право да имат достъп до приложението (базата данни )на EOS Matrix doo. Аргументът на EOS Matrix doo, че самите субекти на данни са предоставили такава информация, не означава, че същата може да бъде активно въведена в базата данни. За да може активно да записва нечии здравни данни въз основа на представянето им от субекта на данните, самият субект на данни трябва да представи тези данни публично (напр. чрез средства за обществена комуникация, социални мрежи и др.), което със сигурност не се отнася за телефонен разговор между двама души, който може да се счита за вид поверителен разговор. В резултат на гореизложеното не може да се счита, че в конкретния случай е налице изключение за обработката на здравни данни от чл. 9, пар. 2, буква „д“) от Общия регламент. Освен това позоваването на правното основание по отношение на изпълнението на договора, както и легитимният интерес (на който се позовава въпросната компания) също не може да бъде правно основание, тъй като обработката на здравни данни не е необходима за постигане на предвидената цел. Ако целта е по-добра събираемост към длъжника и избягване на комуникация поради здравословното състояние, тогава същата цел може да се постигне чрез записване на общ коментар за необходимостта от избягване на контакти за определен период от време поради личното състояние на длъжника, без да се изтъкват точни данни за здравословното състояние.
Освен това, във връзка с обработката на здравни данни, като се разгледат първите три политики за поверителност (които са били в сила в периодите от 25.05.2018 г. до 29.10.2020 г.), беше определено, че EOS Matrix doo дефинира в тях, че не обработва и няма да обработва здравни данни. Това доведе до непрозрачно обработване на лични данни, тъй като субектите на данни не са можели да очакват, че техните здравни данни, предоставени в телефонен разговор, ще бъдат активно записани в базата данни и допълнително обработени, което води до нарушенията, посочени в точка 4. С този метод на обработване, субектите на данни не са знаели, че техните здравни данни са достъпни за всички упълномощени лица, които имат достъп до базата данни.
Също така в периода от 25.05.2018 г. до 16.01.2019 г. личните данни на 49 850 субекти на данни са обработени като са записани телефонни разговори, без да се определя правното основание от чл. 6, пар. 1 от Общия регламент и във връзка с това са нарушени разпоредбите на чл. 5, параграф 2 от GDPR. А именно, едва на 16.01.2019 г. EOS Matrix doo провежда тест за легитимен интерес и установява, че има правно основание от чл. 6, пар. 1, буква „е“ за запис на телефонни разговори. В този смисъл е необходимо да се посочи, че легитимният интерес се доказва преди момента на обработване на личните данни – администраторът трябва да докаже, че по отношение на конкретното обработване на лични данни, правата му да започне такова обработване (конкретно записване на телефонни разговори) имат предимство пред интересите и правата и свободите на субекта на данните/длъжника.
Освен това по отношение на записа на телефонни разговори е установено, че EOS Matrix doo от 2014 г. използва функционалността за запис на телефонни разговори с длъжници, което показва, че разговорът „може“ да бъде записан. Всички обработващи данни в случай на обработка на лични данни са длъжни проактивно да съобщават на субектите на данни на ясен, недвусмислен и разбираем език всичките им права от GDPR. А именно, използвайки конструкцията „може да се записва“, длъжниците не са били сигурни дали разговорът се записва или може да бъде записан само в определени ситуации, така че дори не са знаели дали личните им данни се обработват по този начин или не. EOS Matrix doo е трябвало да използва ясна езикова формулировка „този разговор се записва с цел…“, за да спази разпоредбата на чл. 12, пар. 1 от GDPR.
В хода на надзорната процедура AZOP проверява и твърденията от постъпилата жалба относно обработване на лични данни на малолетни и непълнолетни лица, като се установи, че те се обработват само при наследяване, дарение и в тези случаи комуникацията с цел уреждането на задължението се извършва изключително чрез законния представител на непълнолетния. Ако получи данни, свързани с непълнолетни лица, EOS Matrix doo, връщат същите на подателя или при невъзможност за обратно изкупуване дългът се отписва.
В конкретния случай не е установено как точно са били откраднати 181 641 записа, в конкретния случай става въпрос за евентуално извършване на престъпление, неразрешено използване на лични данни и престъпления срещу компютърни системи, програми и данни, всичко това е от юрисдикцията на Министерството на вътрешните работи, пише в сайта на AZOP. Агенцията активно си сътрудничи с полицейското управление в Загреб и общинската държавна прокуратура в Загреб, които извършват разследващи дейности, уверява надзорният орган.
Според EOS Matrix doo компрометираните лични данни са достъпни за органите на държавната администрация. AZOP посочва, че данните, че определено лице се намира в отношение на длъжник-кредитор, заедно с други лични данни, не са записани в никоя система на друга институция, освен в системата на EOS Matrix doo. При първичните кредитори е информацията, ограничена до техните клиенти/длъжници, чиито дългове са продадени на EOS Matrix doo. В резултат на изложеното по несъмнен начин се установи, че личните данни, предоставени на AZOP чрез USB памет, са от базата данни на EOS Matrix doo, пише в сайта на надзорния орган.
AZOP публикува и „Най-честите въпроси и отговори за граждани относно административната глоба, наложена на EOS Matrix“