Co się stało
Pracownica Poste Italiane po odrzuceniu własnego wniosku o pożyczkę znalazła na platformie dostępnej dla części pracowników informacje o swojej sytuacji finansowej: dochód netto i bieżące zobowiązania. Jej skarga wszczęła postępowanie. Decyzjami nr 746 i 747 z 7 października 2026 r., ogłoszonymi w newsletterze z 23 października, Garante nałożył 48 000 euro na Poste Italiane i 33 000 euro na Deutsche Bank.
Sednem nie jest platforma, lecz relacja między spółkami. Poste przyjmowała wnioski i pośredniczyła, dobierając najlepszy produkt; Deutsche Bank samodzielnie oceniał zdolność kredytową i decydował o udzieleniu pożyczki. Każda spółka sama określała cele i sposoby: dla Garante działały jako odrębni administratorzy, wbrew temu, co formalnie zapisano w umowach.
Dwa naruszenia
- Poste Italiane nie poinformowała należycie wnioskodawców o przetwarzaniu przy promocji i oferowaniu pożyczek, zwłaszcza o odbiorcach danych i przepływie informacji do banku.
- Deutsche Bank nie wskazał prawidłowo w klauzuli roli Poste Italiane jako odbiorcy i odrębnego administratora; musi ją dostosować w ciągu sześciu miesięcy.
- W toku postępowania obie spółki usunęły dane skarżącej; Poste zaktualizowała klauzulę, a bank polecił pracownikom ograniczać dane osobowe i kredytowe w korespondencji.
Garante przypomniał, że klauzule muszą jasno, w pełni i zrozumiale wskazywać, kto przetwarza dane, w jakich celach i komu je przekazuje: zwięzłość nie może prowadzić do pominięcia elementów zasadniczych.
Kontrola u klientów, którzy dystrybuują lub sprzedają produkty innych
Agencje, pośrednicy, sieci sprzedaży, porównywarki, punkty odbioru: połóż umowę z partnerem obok tego, co dzieje się naprawdę. Kto wybiera produkt? Kto decyduje o wyniku? Kto może wykorzystać dane dla siebie? Jeśli każdy decyduje sam, to dwóch administratorów i umowa powierzenia (art. 28) nie wystarczy. Potem otwórz klauzulę: musi mówić, że dane trafiają do partnera, w jakiej roli i po co.
Ról nie wybiera się, wpisując je do umowy: wynikają z tego, kto ustala cele i sposoby (art. 4 pkt 7 RODO). Umowa opisująca inną relację niż rzeczywista nie chroni żadnej ze stron; prowadzi do błędnych klauzul, a właśnie za to nałożono kary.
W aktach klienta zapisz dla każdego partnera handlowego rzeczywistą rolę (odrębny administrator, współadministrator, podmiot przetwarzający), regulujący ją dokument i fragment klauzuli, który ją deklaruje. W DPO Workspace mapa relacji i rejestr czynności pozwalają trzymać te trzy rzeczy razem.
Źródło urzędowe:Garante per la protezione dei dati personali — Newsletter n. 554 del 23 ottobre 2026Źródło urzędowe:Garante per la protezione dei dati personali — provvedimento n. 746 del 7 ottobre 2026 [doc. web 10310707]Źródło urzędowe:Garante per la protezione dei dati personali — provvedimento n. 747 del 7 ottobre 2026 [doc. web 10310391]Szukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
