L'autorité croate inflige une amende administrative de 1,5 million d'euros à une banque pour violations multiples du RGPD
L'Agence pour la protection des données personnelles (AZOP) a publié une décision de sanction à l'encontre d'une banque, comprenant le prononcé d'une amende de 1 500 000 €, pour des manquements en lien avec la collecte de données via son application de banque mobile.
Cette affaire débute par une plainte d'un utilisateur, signalant que l'application de banque mobile collectait la liste de toutes les applications installées sur son appareil.
L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement (article 5, paragraphe 1, point a) et article 6, paragraphe 1 du RGPD) : La banque a traité les données de 433 922 utilisateurs en collectant et stockant la liste de toutes les applications installées sur leurs appareils mobiles via son application de banque mobile, sans disposer d'une base juridique valable. Les justifications légales avancées par la banque, fondées sur un règlement délégué et la loi sur les services de paiement, ont été jugées insuffisantes pour légitimer une collecte aussi intrusive et excessive.
* Obligation de transparence de l'information (articles 12, 13 et 5, paragraphe 1, point a) du RGPD) : Les utilisateurs n'ont pas reçu d'informations claires et complètes concernant la collecte de la liste de leurs applications installées. La politique de confidentialité accessible au téléchargement était générique et n'abordait pas ce traitement spécifique, qui n'était que très brièvement mentionné dans un autre document, rendant de ce fait le traitement quasiment secret.
* Obligation de protection des données dès la conception et de minimisation des données (article 25, paragraphe 2 et article 5, paragraphe 1, point c) du RGPD) : La banque n'a pas appliqué les principes de protection des données dès la conception en ne choisissant pas une solution moins intrusive. L'autorité a estimé qu'une alternative, comme la vérification d'une liste d'applications indésirables sans stocker la liste complète, aurait dû être privilégiée. Cette collecte excessive de données n'était ni nécessaire ni proportionnée à la finalité, et risquait de révéler des données sensibles sur les utilisateurs.
En conséquence, l’autorité a imposé une amende de 1 500 000 € à la banque.
Cette affaire débute par une plainte d'un utilisateur, signalant que l'application de banque mobile collectait la liste de toutes les applications installées sur son appareil.
L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement (article 5, paragraphe 1, point a) et article 6, paragraphe 1 du RGPD) : La banque a traité les données de 433 922 utilisateurs en collectant et stockant la liste de toutes les applications installées sur leurs appareils mobiles via son application de banque mobile, sans disposer d'une base juridique valable. Les justifications légales avancées par la banque, fondées sur un règlement délégué et la loi sur les services de paiement, ont été jugées insuffisantes pour légitimer une collecte aussi intrusive et excessive.
* Obligation de transparence de l'information (articles 12, 13 et 5, paragraphe 1, point a) du RGPD) : Les utilisateurs n'ont pas reçu d'informations claires et complètes concernant la collecte de la liste de leurs applications installées. La politique de confidentialité accessible au téléchargement était générique et n'abordait pas ce traitement spécifique, qui n'était que très brièvement mentionné dans un autre document, rendant de ce fait le traitement quasiment secret.
* Obligation de protection des données dès la conception et de minimisation des données (article 25, paragraphe 2 et article 5, paragraphe 1, point c) du RGPD) : La banque n'a pas appliqué les principes de protection des données dès la conception en ne choisissant pas une solution moins intrusive. L'autorité a estimé qu'une alternative, comme la vérification d'une liste d'applications indésirables sans stocker la liste complète, aurait dû être privilégiée. Cette collecte excessive de données n'était ni nécessaire ni proportionnée à la finalité, et risquait de révéler des données sensibles sur les utilisateurs.
En conséquence, l’autorité a imposé une amende de 1 500 000 € à la banque.
Informations complémentaires
L’analyse complète est réservée aux membres
Montant de la sanction, thèmes, secteurs, entités et données concernées : l’essai gratuit de 14 jours ouvre la fiche entière et la veille personnalisée.
Essayer gratuitement 14 jours · accès complet · sans carte bancaire