Wat er gebeurde
Een medewerkster van Poste Italiane vond na de afwijzing van haar eigen leningaanvraag op een platform dat voor sommige medewerkers toegankelijk was gegevens over haar financiële situatie: netto-inkomen en lopende verplichtingen. Haar klacht leidde tot het onderzoek. Met besluiten nr. 746 en 747 van 7 oktober 2026, bekendgemaakt in de nieuwsbrief van 23 oktober, legde de Garante Poste Italiane 48.000 euro en Deutsche Bank 33.000 euro op.
De kern is niet het platform maar de relatie tussen de twee bedrijven. Poste nam aanvragen aan en bemiddelde door het meest geschikte product te kiezen; Deutsche Bank beoordeelde zelfstandig de kredietwaardigheid en besliste over de lening. Elk bepaalde dus zelf doel en middelen: voor de Garante handelden zij als zelfstandige verwerkingsverantwoordelijken, in strijd met wat formeel in hun overeenkomsten stond.
De twee overtredingen
- Poste Italiane had aanvragers niet goed geïnformeerd over de verwerking bij promotie en bemiddeling, met name over de ontvangers en de gegevensstromen naar de bank.
- Deutsche Bank had in haar privacytekst de rol van Poste Italiane als ontvanger en zelfstandige verwerkingsverantwoordelijke niet juist vermeld; zij moet de tekst binnen zes maanden aanpassen.
- Tijdens het onderzoek wisten beide de gegevens van de klaagster; Poste werkte haar privacytekst bij en de bank instrueerde personeel om persoons- en kredietgegevens in berichten te beperken.
De Garante herinnerde eraan dat privacyteksten duidelijk, volledig en begrijpelijk moeten vermelden wie de gegevens verwerkt, waarvoor en aan wie ze worden verstrekt: beknoptheid mag niet leiden tot het weglaten van essentiële elementen.
De controle bij klanten die producten van anderen verkopen
Agentschappen, tussenpersonen, verkoopnetwerken, vergelijkingssites, afhaalpunten: leg de overeenkomst met de partner naast wat er echt gebeurt. Wie kiest het product? Wie beslist over de uitkomst? Wie mag de gegevens voor zichzelf gebruiken? Beslist ieder zelf, dan zijn er twee verwerkingsverantwoordelijken en houdt een verwerkersovereenkomst (art. 28) geen stand. Open daarna de privacytekst: die moet zeggen dat gegevens naar de partner gaan, in welke rol en waarvoor.
Rollen kies je niet door ze in het contract te schrijven: ze volgen uit wie doel en middelen bepaalt (art. 4, punt 7, AVG). Een contract dat een andere relatie beschrijft dan de echte beschermt geen van beide partijen; het leidt tot onjuiste privacyteksten, precies wat hier is beboet.
Leg in het klantdossier per zakenpartner de echte rol vast (zelfstandige of gezamenlijke verwerkingsverantwoordelijke, verwerker), het document dat haar regelt en de passage in de privacytekst die haar vermeldt. In DPO Workspace houden de relatiekaart en het verwerkingsregister de drie samen.
Officiële bron:Garante per la protezione dei dati personali — Newsletter n. 554 del 23 ottobre 2026Officiële bron:Garante per la protezione dei dati personali — provvedimento n. 746 del 7 ottobre 2026 [doc. web 10310707]Officiële bron:Garante per la protezione dei dati personali — provvedimento n. 747 del 7 ottobre 2026 [doc. web 10310391]Zoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
