Un fornitore di confronto prestiti: richieste di finanziamento accessibili tramite URL
- Paese
- Finlandia
- Autorità
- Garante finlandese per la protezione dei dati
- Settore
- Finanza e prestiti
- Notizia dell'EDPB
- 10 marzo 2025
- Misure decise
-
- Sanzione pecuniaria
- Ammonimento
- Ordine di comunicare la violazione agli interessati
Sintesi della decisione
L'autorità finlandese di protezione dei dati ha avviato un'indagine dopo il reclamo di un cliente e ha accertato gravi carenze di sicurezza nei servizi di confronto prestiti della società. Le richieste di finanziamento erano accessibili a terzi attraverso URL personali, senza adeguate restrizioni, e alcuni di questi link sono stati oggetto di phishing con divulgazione di dati personali. Sono state violate le disposizioni del GDPR sulla sicurezza del trattamento (art. 32), sulla protezione dei dati fin dalla progettazione (art. 25) e sul principio di integrità e riservatezza (art. 5, par. 1, lett. f). L'autorità ha imposto una sanzione amministrativa pecuniaria, l'obbligo di comunicare l'incidente ai clienti e un ammonimento; la società ha dichiarato di aver interrotto l'uso degli URL vulnerabili e migliorato la sicurezza dei servizi.
Gli URL personali che danno accesso diretto a dati sensibili devono essere protetti da autenticazione e controlli adeguati, perché la sola segretezza del link non costituisce una misura di sicurezza sufficiente.
Articoli del GDPR violati
- art. 5 GDPR Principi applicabili al trattamento di dati personali
- art. 25 GDPR Protezione dei dati fin dalla progettazione e protezione dei dati per impostazione predefinita
- art. 32 GDPR Sicurezza del trattamento
I link verdi portano alla mappa del GDPR con i provvedimenti italiani che citano lo stesso articolo; gli altri al testo ufficiale su EUR-Lex.
Casi simili in Italia
- SospesoPoste Italiane S.p.a.; Postepay S.p.a.
Anche in questo caso la sanzione riguarda un trattamento di dati finanziari con violazione di principi generali del GDPR, sebbene la condotta contestata sia diversa.
Fonti
- Notizia del Comitato europeo per la protezione dei dati (EDPB) ↗ “Finnish SA: loan comparison provider Sambla Group issued administrative fine for data security neglect”, in inglese
- Decisione o comunicato dell'autorità nazionale ↗
AISintesi generata con intelligenza artificiale e rivista prima della pubblicazione
Questa è una sintesi indipendente in italiano della notizia pubblicata dall'EDPB, non una traduzione ufficiale né un documento dell'autorità che ha deciso. Per il testo autentico fa fede la decisione originale. Progetto indipendente, non affiliato al Garante né all'EDPB.