При интегриране на услугата IRIS в приложението за мобилно банкиране i-bank Pay бяха случайно активирани мобилни номера
Националната банка на Гърция започва сериозна проверка по жалба едва след включването в процеса на надзорния орган по защита на данните, стана ясно от новия брой на бюлетина на HDPA.
Гръцкият надзорен орган за защита на данните получава жалби за неправилно свързване на банкова сметка с номер на мобилния телефон на друг жалбоподател в “i-bank Pay заявление”, което води до парични преводи чрез “IRIS online payments service” до грешната банкова сметка.
Жалбоподателят Б се е регистрирал за услугата i-bank Pay p2p като е посочва като втори телефонен номер за прехвърляне на суми мобилен номер, който според жалбата принадлежи на жалбоподател А.
По същото време А. се е регистрира в услугата за онлайн плащания IRIS на DIAS със същия телефонен номер.
На 26.3.2022 г. C. прави превод на сумата от 90 евро чрез i-bank Pay приложение към избран от него мобилен телефонен номер и тя постъпва в депозитната сметка на Б.
Обяснението е, че „единична софтуерна грешка“ случайно активира в приложение за телефонни плащания на i-bank номер, който не е потвърден за регистрация чрез еднократна парола.
Жалбоподателите се обръщат към банката чрез упражняване на правото си на достъп. Банката иска засегнатите да предприемат необходимите коригиращи действия, защото въпросът „се отнася до системен процес на внедряване“.
Пострадалият подчертава, че не е извършил регистрация в заявлението с номер на А., тъй като в този случай всички транзакции, които той би извършил чрез приложението, ще трябва да бъдат са потвърдени от А., което никога не се е случвало. Освен това жалбоподателят заявява, че на самия А. не е била предоставена същата информация, дори в телефонната комуникация с банката, след втори случай на неправилен превод на средства (на 19.06.2022 г.).
След намесата на надзорния орган банката най-накрая установява, че проблемът се дължи на неправилна конфигурация по време на надграждането на мобилното банково приложение през 2020 г., което засяга още 24 клиенти. На банката се налага да изпрати уведомление за нарушение на данните на надзорния орган.
HDPA налага на банката като администратор на данни административна глоба в размер на 100 000 евро за нарушаване на принципите на точност, цялостност и поверителност на данните и принципите на защита на данните на етапа на проектиране и по подразбиране във връзка с членове 32, 33 и 34 от GDPR, както и административна глоба в размер на 20 000 евро за нарушаване на правото на достъп на жалбоподателите.
По време на проверките става ясно, че погрешните парични транзакции са 38 и са извършени от 33 клиенти, както и че са на обща стойност 2 149,66 евро.
Приложението i-bank Pay е спряно.