Decizie finală în instanță: Banca Transilvania nu a protejat datele personale ale unui client și va plăti o amendă de 100.000 de euro

Curtea de Apel Cluj a confirmat, prin Hotărârea civilă nr. 9 din 13.04.2022, definitivă, amenda în cuantum de 100.000 de euro aplicată de Băncii Transilvania de către Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal, pentru încălcarea art. 32 alin. (1) și (2) coroborat cu art. 5 alin. (1) lit. f) din Regulamentul General privind Protecția Datelor, potrivit unui comunicat de presă al ANSPDCP.

Ce s-a întâmplat?

• Un client al Băncii Transilvania a dorit să retragă 85.000 de euro, iar reprezentanții băncii l-au întrebat ce face cu banii. Acesta, nedorind să dea informații personale, a scris un email ironic: „Voi călători în Olanda, unde prostituţia este legală să f*t nişte prostituate. Apoi, tot în Olanda, drogurile fiind legale, doresc să consum marijuana, haşiş şi aş încerca şi nişte ciuperci. În Olanda am auzit că au și niște prăjituri bune cu marijuana, v-aș sugera să le încercați și voi, poate vă treziți și nu mai impuneți oamenilor să dea declarații tâmpite în baza unor proceduri idioate, pentru a justifica ce fac cu banii lor personali”. Un angajat al băncii a fotografiat e-mailul și l-a trimis unor colegi să vadă și ei ce răspuns a trimis acel client, iar apoi documentul a ajuns pe internet și a devenit viral, cu tot cu datele personale ale clientului. Autoritatea pentru Date Personale spune că în urma acestui fapt au fost dezvăluite date personale, precum numele și prenumele, adrese de email, preferințe personale, valori de tranzacție, adresa locului de muncă, funcția și telefonul de serviciu.

Instanța a reținut următoarele aspecte:

”Faptele constatate prin procesul verbal de contravenție și necontestate atestă divulgarea intenționată, în mod neautorizat, de către persoanele aflate sub autoritatea Băncii, a unui [set] însemnat de date cu caracter personal (unele din categoria datelor extrem de sensibile) către un număr foarte mare de persoane.

Dezinvoltura cu care angajații reclamantei au acționat, transmițând de la unul la altul datele cu caracter personal ale clientului băncii și ulterior, unor terțe persoane, prin intermediul aplicației Whatsapp, atestă nu doar necunoașterea procedurilor de lucru privind prelucrarea datelor cu caracter pesonal cât mai ales (și mai grav) inabilitatea acestora de a identifica și califica datele la care au acces ca find date cu caracter personal, ceea ce denotă o lipsă acută de instruire efectivă.

Așadar, deși reclamanta a depus la dosar, în copie, extrase din diverse proceduri interne aceasta nu a dovedit, pe de o parte, instruirea efectivă a celor trei angajați care au produs incidentul de securitate, iar pe de altă parte, că a aplicat mecanismele de control și evaluare elaborate pentru a se asigura că angajații săi și-au însușit menționatele reglementări interne.

Așa fiind, înscrisurile prezentate de reclamantă, în dovedirea implementării măsurilor tehnice organizatorice adecvate, nu sunt de natură să probeze asigurarea unui nivel de securitate corespunzător privind capacitatea de a asigura confidențialitatea și testarea, evaluarea și aprecierea periodice ale eficacității măsurilor tehnice și organizatorice pentru a garanta securitatea prelucrării.”

În ce privește consecințele încălcării, Tribunalul Cluj a reținut că ”acestea au fost corect calificate de către pârâtă ca find grave prin raportare la cantitatea datelor cu caracter personal diseminate de angajații Băncii, natura sensibilă a acestora, modalitatea de diseminare (prin internet, mailul cuprinzand datele clientului Băncii circulând intens în spatiul public, informații sintetice find preluate inclusiv de bloguri, canale TV și site-uri de știri), numărul extrem de mare al persoanelor care au dobandit acces la datele clientului Băncii pentru o perioadă de timp imposibil de determinat, urmare a transmiterii informațiilor prin mijloacele cele mai diverse, toate aceste aspecte fiind în măsură să confere o imagine corectă cu privire la amploarea și gravitatea consecințelor incidentului de securitate.

Reclamanta a recunoscut, de altfel, raportat la modalitatea de transmitere a datelor cu caracter personal, că măsurile întreprinse pentru limitarea consecintelor breșei de securitate nu au fost "fezabile", amploarea diseminării acestora în spatiul public fiind în mod evident scăpată de sub control”.