GDPR изисква администраторът да документира всяко изтриване на информация
Датският надзорен орган за защита на данните (SA) съобщи, че налага на Danske Bank глоба от 10 милиона датски крони (приблизително 1,3 милиона евро).
Проверката на Datatilsynet започва през ноември 2020 г., след като самата банка заявява, че е идентифицирала проблем с изтриването на лични данни, в който не е имало основания за продължаване на обработката.
По време на разследването на датския SA става ясно, че банката в повече от 400 системи не е успяла да документира дали са установени правила за изтриване и съхранение на лични данни, или е извършено ръчно изтриване на лични данни. Тези системи обработват лични данни на милиони хора.
„Един от основните принципи на GDPR е, че можете да обработвате само информация, от която се нуждаете – и когато вече не се нуждаете от нея, тя трябва да бъде изтрита.
Когато става въпрос за организация с размерите на Danske Bank, която има много и сложни системи, е особено важно да можете също така да документирате, че изтриването действително се извършва“, казва Кени Елм Олсен, специализиран консултант в Датската агенция за защита на данните.
Datatilsynet винаги прави конкретна оценка на сериозността на случая съгласно член 83 от Регламент (ЕС) 2016/679 при преценка коя санкция е правилната, пише в сайта на институцията.
При преценката, че трябва да бъде наложена глоба, Датската агенция за защита на данните подчертава, че въпросното нарушение се отнася до основен принцип за обработка на лични данни и засяга много голям брой субекти на данни.
В препоръката си относно размера на глобата Датската агенция за защита на данните, наред с други неща, подчертава естеството и сериозността на нарушението и изискването на регламента глобата във всеки отделен случай да бъде ефективна, пропорционална на нарушението и да има възпиращ ефект.
Освен това се стигна до заключението, че Danske Bank непрекъснато работи, за да може да документира изпълнението на задълженията си, т.е. са се опитали да ограничат щетите, които потенциално понасят субектите на данни.
В същото време Датската агенция за защита на данните отбелязва и активното участие на Danske Bank с информация по случая.
Датският надзорен орган съобщава на Danske Bank и на полицията, че е нарушен член 5, параграф 2 от GDPR.