Società di servizi finanziari: DPO non indipendente e profilazione non documentata
- Paese
- Polonia
- Autorità
- UODO
- Settore
- Banche
- Notizia dell'EDPB
- 7 maggio 2025
- Misure decise
-
- Sanzione pecuniaria
Sintesi della decisione
L'autorità polacca per la protezione dei dati ha sanzionato Toyota Bank Polska S.A. per aver collocato il responsabile della protezione dei dati (DPO) in una posizione che non ne garantiva la piena indipendenza, facendolo rispondere a un direttore che gestiva anche i trattamenti. Durante l'ispezione è emerso inoltre che la banca non aveva inserito nel registro delle attività di trattamento né nella valutazione d'impatto la profilazione dei clienti per la valutazione del merito creditizio. Sono state contestate la violazione dell'articolo 38, paragrafo 3, del GDPR e quella degli articoli 30, paragrafo 1, e 35, paragrafi 1 e 7. Le misure disposte sono sanzioni amministrative pecuniarie.
Il DPO deve riferire direttamente al vertice e non può ricoprire ruoli operativi incompatibili con la funzione, e ogni profilazione, compreso lo scoring creditizio, va censita nel registro e valutata con una DPIA.
Casi simili in Italia
- SanzioneBanco Bilbao Vizcaya Argentaria
Anche in questo caso una banca è sanzionata per violazioni dei diritti e delle garanzie connesse a trattamenti di profilazione.
- SanzioneExperian Italia S.p.A.
Riguarda il trattamento di dati per lo scoring creditizio e la mancata adozione di misure di protezione fin dalla progettazione, come la mancata valutazione dei profili nei documenti del trattamento.
Fonti
- Notizia del Comitato europeo per la protezione dei dati (EDPB) ↗ “Polish SA: administrative fine of 132 000 € for improper positioning of the DPO and failure to include profiling in documentation”, in inglese
AISintesi generata con intelligenza artificiale e rivista prima della pubblicazione
Questa è una sintesi indipendente in italiano della notizia pubblicata dall'EDPB, non una traduzione ufficiale né un documento dell'autorità che ha deciso. Per il testo autentico fa fede la decisione originale. Progetto indipendente, non affiliato al Garante né all'EDPB.