Ce qui a changé
- L'autorité italienne de protection des données a imposé des amendes administratives d'un montant total de EUR 81,000 à Poste Italiane et Deutsche Bank pour violation des articles 5(1)(a) et 13 du RGPD.
- L'enquête a révélé que les deux entreprises ont agi en tant que responsables du traitement indépendants sans refléter correctement les flux de données et le statut des destinataires dans leurs notices d'information sur la protection des données.
- Deutsche Bank a reçu l'ordre de modifier sa déclaration de protection des données dans un délai de six mois afin d'identifier avec précision Poste Italiane en tant que responsable du traitement indépendant.
Les organisations proposant des produits financiers en co-branding ou en partenariat au sein de l'Union européenne doivent respecter scrupuleusement les obligations de transparence du Règlement général sur la protection des données (RGPD), notamment lors de la définition des rôles de responsable du traitement. L'autorité italienne de protection des données (DPA) a infligé des amendes administratives de EUR 48,000 à Poste Italiane et de EUR 33,000 à Deutsche Bank, pour un montant total de EUR 81,000, pour défaut d'information adéquate des demandeurs de crédit concernant le traitement de leurs données personnelles.
L'enquête réglementaire découle d'une plainte déposée par une employée de Poste Italiane. À la suite du refus de sa demande de crédit soumise par l'intermédiaire de BancoPosta, elle a découvert que les détails de sa situation financière — y compris son revenu net et ses engagements existants — demeuraient accessibles sur une plateforme interne utilisée par le personnel autorisé. En examinant les pratiques de traitement des données des deux entités concernant les crédits BancoPosta, l'autorité italienne de protection des données a constaté que, malgré leurs accords contractuels, Poste Italiane et Deutsche Bank agissaient en tant que responsables du traitement indépendants. Poste Italiane recueillait les demandes et effectuait des tâches d'intermédiation, tandis que Deutsche Bank évaluait de manière indépendante la solvabilité et prenait les décisions finales d'octroi de crédit.
L'autorité de protection des données a établi que les déclarations de protection des données des deux sociétés violaient les articles 5(1)(a) et 13 du RGPD. Poste Italiane n'a pas présenté clairement les activités de traitement lors de la promotion des crédits, les destinataires des données et les flux d'informations vers Deutsche Bank. Deutsche Bank n'a pas identifié Poste Italiane en tant que destinataire responsable du traitement indépendant. L'autorité a souligné que si les informations relatives à la protection des données doivent être concises, la concision ne saurait justifier l'omission de détails essentiels nécessaires à la compréhension de l'utilisation des données par les personnes concernées.
Au cours de la procédure, les deux entités ont effacé les données de la plaignante. Poste Italiane a mis à jour sa déclaration de protection des données, tandis que Deutsche Bank a émis des instructions internes visant à restreindre les détails du crédit dans les communications relatives aux prêts. L'autorité de protection des données a également ordonné à Deutsche Bank de modifier sa déclaration de protection des données dans un délai de six mois afin de désigner correctement Poste Italiane en tant que responsable du traitement indépendant et de fournir une preuve de conformité.
Qui peut être concerné
Institutions financières, intermédiaires de crédit commercial et demandeurs de crédit en Italie et dans l'Union européenne.
Contexte transfrontalier
Applique les normes du Règlement général sur la protection des données (RGPD) de l'UE à la distribution de services financiers impliquant une entité italienne (Poste Italiane) et un groupe bancaire international (Deutsche Bank).
Points à vérifier ensuite
- Décision officielle de l'autorité italienne de protection des données concernant Poste Italiane
- Décision officielle de l'autorité italienne de protection des données concernant Deutsche Bank
Cet article fournit des informations générales et ne constitue pas un conseil juridique. Consultez le texte officiel et obtenez des conseils adaptés à votre situation si nécessaire.