L'Autorité Nationale de Surveillance du Traitement des Données à Caractère Personnel (ANSPDCP) a publié une décision de sanction à l'encontre d'Unicredit Bank SA (comprenant le prononcé d'une amende de 62 714 lei, soit l'équivalent de 12 000 €) pour des manquements en lien avec la sécurité du traitement et la notification d'une violation de données. Cette affaire débute par une plainte d'une personne physique signalant de possibles violations du RGPD.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : La banque n'a pas mis en œuvre des mesures techniques et organisationnelles adéquates pour garantir la confidentialité des données. Une erreur lors du traitement manuel d'un fichier destiné à la préparation de notifications de renouvellement de polices d'assurance a entraîné l'envoi de ces notifications aux mauvais destinataires. Cette défaillance a conduit à la divulgation non autorisée des données personnelles d'un nombre significatif de clients, incluant leur nom, prénom, adresse, des informations sur le bien immobilier assuré et le crédit hypothécaire associé, ainsi que les détails de la police d'assurance.

* Obligation de notifier les violations de données à l'autorité de contrôle (article 33 du RGPD) : La banque a notifié la violation de données à caractère personnel à l'autorité de contrôle au-delà du délai légal de 72 heures après en avoir pris connaissance. L'enquête a établi que la notification a été transmise tardivement, bien que la banque disposait d'informations concrètes sur l'incident de sécurité et la violation de la confidentialité des données.

En conséquence, l’autorité a imposé une amende de 62 714 lei (soit 12 000 €) à Unicredit Bank SA.