Hva som skjedde
En ansatt i Poste Italiane fant, etter at hennes egen lånesøknad ble avslått, opplysninger om sin økonomiske situasjon på en plattform som noen ansatte hadde tilgang til: nettoinntekt og løpende forpliktelser. Klagen hennes utløste saken. Med vedtak nr. 746 og 747 av 7. oktober 2026, kunngjort i nyhetsbrevet 23. oktober, ila Garante Poste Italiane 48 000 euro og Deutsche Bank 33 000 euro.
Kjernen er ikke plattformen, men forholdet mellom selskapene. Poste tok imot søknader og formidlet ved å velge det mest passende produktet; Deutsche Bank vurderte selv kredittverdigheten og avgjorde om lånet skulle gis. Hvert selskap bestemte dermed selv formål og midler: for Garante opptrådte de som selvstendige behandlingsansvarlige, i strid med det avtalene formelt sa.
De to bruddene
- Poste Italiane hadde ikke informert søkerne godt nok om behandlingen ved markedsføring og formidling, særlig om mottakere og informasjonsflyt til banken.
- Deutsche Bank hadde ikke angitt riktig i sin erklæring Poste Italianes rolle som mottaker og selvstendig behandlingsansvarlig; den må rette erklæringen innen seks måneder.
- Under saken slettet begge klagerens opplysninger; Poste oppdaterte erklæringen, og banken instruerte de ansatte om å begrense person- og kredittopplysninger i kommunikasjon.
Garante minnet om at personvernerklæringer klart, fullstendig og forståelig må si hvem som behandler opplysningene, til hvilke formål og hvem de utleveres til: korthet kan ikke føre til at vesentlige opplysninger utelates.
Kontrollen for klienter som formidler eller selger andres produkter
Byråer, formidlere, salgsnettverk, sammenligningstjenester, hentesteder: legg avtalen med partneren ved siden av det som faktisk skjer. Hvem velger produktet? Hvem avgjør utfallet? Hvem kan bruke opplysningene selv? Bestemmer hver for seg, er det to behandlingsansvarlige, og en databehandleravtale (art. 28) holder ikke. Åpne så erklæringen: den må si at opplysningene går til partneren, i hvilken rolle og til hva.
Roller velges ikke ved å skrive dem inn i kontrakten: de følger av hvem som bestemmer formål og midler (art. 4 nr. 7 GDPR). En kontrakt som beskriver et annet forhold enn det reelle, beskytter ingen av partene; den fører til feil erklæringer, som er nettopp det som ble sanksjonert her.
Noter i klientmappen for hver forretningspartner den reelle rollen (selvstendig behandlingsansvarlig, felles behandlingsansvarlig, databehandler), dokumentet som regulerer den og stedet i erklæringen som oppgir den. I DPO Workspace holder relasjonskartet og protokollen de tre sammen.
Offisiell kilde:Garante per la protezione dei dati personali — Newsletter n. 554 del 23 ottobre 2026Offisiell kilde:Garante per la protezione dei dati personali — provvedimento n. 746 del 7 ottobre 2026 [doc. web 10310707]Offisiell kilde:Garante per la protezione dei dati personali — provvedimento n. 747 del 7 ottobre 2026 [doc. web 10310391]Ser du etter et verktøy for arbeidet ditt som personvernombud?
DPO Workspace er bygget av et sertifisert personvernombud. 30 dager gratis.
Kom i gang gratis
