主要变化
- 因违反GDPR第5(1)(a)条及第13条，意大利数据保护局对Poste Italiane和德意志银行处以总计81,000欧元的行政罚款。
- 调查发现，两家公司均作为独立数据控制者行事，但未在隐私声明中妥善反映数据流转情况及接收方身份。
- 德意志银行被责令在六个月内修改其隐私声明，以准确指定Poste Italiane为独立数据控制者。
在欧盟范围内提供联名或合作金融产品的机构必须严格遵守《通用数据保护条例》（GDPR）的透明度义务，尤其是在界定数据控制者角色时。意大利数据保护局（DPA）因Poste Italiane和德意志银行未向贷款申请人充分告知个人数据处理情况，分别对其处以48,000欧元和33,000欧元的行政罚款，总计81,000欧元。
监管调查源于Poste Italiane一名员工发起的投诉。在其通过BancoPosta提交的贷款申请被拒绝后，她发现自己的财务状况细节—包括净收入和现有债务—仍可被授权人员在内部平台上访问。意大利数据保护局对两家实体关于BancoPosta贷款的数据处理实践进行了调查，发现尽管存在合同约定，Poste Italiane和德意志银行仍作为独立数据控制者行事。Poste Italiane负责收集申请并执行中介工作，而德意志银行则独立评估信用状况并作出最终贷款决定。
数据保护局认定两家公司的隐私声明均违反了GDPR第5(1)(a)条和第13条。Poste Italiane未能在贷款推广期间清晰列明处理活动、数据接收方以及向德意志银行的信息流转情况。德意志银行则未能将Poste Italiane识别为独立控制者接收方。该监管机构强调，虽然隐私信息应当简明，但简明性不能成为省略个人了解数据使用情况所需关键细节的理由。
在诉讼程序期间，两家实体均删除了投诉人的数据。Poste Italiane更新了其隐私声明，而德意志银行则发布了内部指令，以限制贷款沟通中的信用细节。数据保护局还责令德意志银行在六个月内修改其隐私声明，正确将Poste Italiane指定为独立数据控制者，并提交合规证明。
受影响对象
意大利及欧盟地区的金融机构、商业贷款中介机构以及贷款申请人。
跨境背景
将欧盟《通用数据保护条例》（GDPR）标准应用于涉及意大利实体（Poste Italiane）与国际银行集团（德意志银行）的金融服务分销领域。
后续关注事项
- 意大利数据保护局关于Poste Italiane的官方决定
- 意大利数据保护局关于德意志银行的官方决定
本文仅提供一般性信息，不构成法律意见。必要时请查阅官方文本并根据您的具体情况寻求专业建议。