L'Autorité nationale de surveillance du traitement des données à caractère personnel (ANSPDCP) a publié une décision de sanction à l'encontre de ING Bank NV Amsterdam – Succursale de Bucarest S.A. (comprenant le prononcé d'une amende de 20 388 lei, soit 4 000 €) pour des manquements en lien avec la sécurité du traitement des données. Cette affaire débute par la plainte d'une personne concernée, signalant qu'un employé de la banque avait remis ses relevés de compte à un tiers sans son autorisation.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'autorité a constaté que la banque n'avait pas mis en œuvre des mesures techniques et organisationnelles suffisantes pour garantir la confidentialité des données personnelles de la plaignante. Cette défaillance a permis à un employé de générer et de remettre un relevé de compte courant à une tierce personne, constituant une divulgation non autorisée de données (nom, prénom, adresse, IBAN, transactions).

En conséquence, la structure s'est vue sanctionner de l'amende mentionnée ci-dessus.

En outre, l’autorité a ordonné au responsable du traitement d'assurer la conformité de ses opérations de traitement en mettant en œuvre des mesures techniques et organisationnelles appropriées, y compris la formation périodique du personnel, afin d'éviter de nouvelles divulgations non autorisées.