Mitä tapahtui
Poste Italianen työntekijä löysi oman lainahakemuksensa hylkäämisen jälkeen tietoja taloudellisesta tilanteestaan alustalta, johon osalla työntekijöistä oli pääsy: nettotulot ja voimassa olevat sitoumukset. Hänen valituksensa käynnisti tutkinnan. Päätöksillä nro 746 ja 747 (7.10.2026), jotka julkistettiin 23.10. uutiskirjeessä, Garante määräsi Poste Italianelle 48 000 euron ja Deutsche Bankille 33 000 euron seuraamukset.
Ydin ei ole alusta vaan yhtiöiden välinen suhde. Poste vastaanotti hakemukset ja toimi välittäjänä valitsemalla sopivimman tuotteen; Deutsche Bank arvioi luottokelpoisuuden itsenäisesti ja päätti lainasta. Kumpikin siis määritti itse tarkoitukset ja keinot: Garanten mukaan ne toimivat itsenäisinä rekisterinpitäjinä, vastoin sitä, mitä sopimuksissa muodollisesti sanottiin.
Kaksi rikkomusta
- Poste Italiane ei ollut kertonut hakijoille riittävästi käsittelystä markkinoinnin ja välityksen aikana, erityisesti vastaanottajista ja tietovirroista pankkiin.
- Deutsche Bank ei ollut ilmoittanut selosteessaan oikein Poste Italianen roolia vastaanottajana ja itsenäisenä rekisterinpitäjänä; sen on korjattava seloste kuudessa kuukaudessa.
- Tutkinnan aikana molemmat poistivat valittajan tiedot; Poste päivitti selosteensa ja pankki ohjeisti henkilöstöä rajoittamaan henkilö- ja luottotietoja viestinnässä.
Garante muistutti, että selosteen on kerrottava selkeästi, kattavasti ja ymmärrettävästi, kuka tietoja käsittelee, mihin tarkoituksiin ja kenelle ne luovutetaan: tiiviys ei saa johtaa olennaisten tietojen pois jättämiseen.
Tarkistus asiakkaille, jotka myyvät tai välittävät muiden tuotteita
Toimistot, välittäjät, myyntiverkostot, vertailupalvelut, noutopisteet: aseta kumppanisopimus rinnakkain sen kanssa, mitä todella tapahtuu. Kuka valitsee tuotteen? Kuka päättää lopputuloksesta? Kuka saa käyttää tietoja omiin tarkoituksiinsa? Jos kumpikin päättää itse, rekisterinpitäjiä on kaksi, eikä käsittelijäsopimus (28 art.) kestä. Avaa sitten seloste: sen on kerrottava, että tiedot menevät kumppanille, missä roolissa ja mihin.
Rooleja ei valita kirjoittamalla ne sopimukseen: ne määräytyvät sen mukaan, kuka määrittää tarkoitukset ja keinot (GDPR 4 art. 7 kohta). Sopimus, joka kuvaa todellisesta poikkeavaa suhdetta, ei suojaa kumpaakaan osapuolta; se johtaa vääriin selosteisiin, mikä juuri tässä tuomittiin.
Kirjaa asiakkaan kansioon jokaisesta liikekumppanista todellinen rooli (itsenäinen tai yhteinen rekisterinpitäjä, käsittelijä), sitä sääntelevä asiakirja ja selosteen kohta, jossa se kerrotaan. DPO Workspacessa suhdekartta ja käsittelytoimien seloste pitävät nämä kolme yhdessä.
Virallinen lähde:Garante per la protezione dei dati personali — Newsletter n. 554 del 23 ottobre 2026Virallinen lähde:Garante per la protezione dei dati personali — provvedimento n. 746 del 7 ottobre 2026 [doc. web 10310707]Virallinen lähde:Garante per la protezione dei dati personali — provvedimento n. 747 del 7 ottobre 2026 [doc. web 10310391]Etsitkö työkalua tietosuojavastaavan työhösi?
DPO Workspace on sertifioidun tietosuojavastaavan rakentama. 30 päivää maksutta.
Aloita maksutta
