O que aconteceu
Uma trabalhadora da Poste Italiane, após a recusa do seu próprio pedido de empréstimo, encontrou numa plataforma acessível a alguns operadores da empresa informações sobre a sua situação económica: rendimento líquido e compromissos financeiros. A sua reclamação abriu a investigação. Com as decisões n.º 746 e 747 de 7 de outubro de 2026, divulgadas na newsletter de 23 de outubro, o Garante sancionou a Poste Italiane em 48 000 euros e o Deutsche Bank em 33 000 euros.
O ponto central não é a plataforma, mas a relação entre as duas sociedades. A Poste recolhia os pedidos e fazia intermediação, escolhendo o produto mais adequado; o Deutsche Bank avaliava autonomamente a solvabilidade e decidia sobre a concessão. Cada uma determinava por si finalidades e meios: para o Garante atuavam como responsáveis autónomos, ao contrário do que previam formalmente os acordos.
As duas infrações
- A Poste Italiane não informou adequadamente os requerentes sobre os tratamentos na promoção e colocação, em especial sobre os destinatários dos dados e os fluxos para o banco.
- O Deutsche Bank não indicou corretamente na sua informação o papel da Poste Italiane como destinatária e responsável autónoma; tem de adequar a informação em seis meses.
- Durante a investigação ambas apagaram os dados da reclamante; a Poste atualizou a informação e o banco instruiu o pessoal a limitar dados pessoais e de crédito nas comunicações.
O Garante recordou que a informação deve indicar de forma clara, completa e compreensível quem trata os dados, para que finalidades e a quem os comunica: a síntese não pode chegar à omissão de elementos essenciais.
A verificação para clientes que distribuem ou vendem produtos de terceiros
Agências, intermediários, redes de venda, comparadores, pontos de recolha: ponha o acordo com o parceiro ao lado do que acontece na prática. Quem escolhe o produto? Quem decide o resultado? Quem pode usar os dados para si? Se cada um decide por si, são dois responsáveis e a subcontratação do art. 28.º não se sustenta. Depois abra a informação: tem de dizer que os dados passam ao parceiro, em que papel e para quê.
Os papéis não se escolhem escrevendo-os no contrato: resultam de quem determina finalidades e meios (art. 4.º, n.º 7, RGPD). Um contrato que descreve uma relação diferente da real não protege nenhuma das partes; conduz a informações erradas, que é exatamente o que aqui foi sancionado.
No processo do cliente registe, para cada parceiro comercial, o papel real (responsável autónomo, responsável conjunto, subcontratante), o documento que o regula e o ponto da informação que o declara. No DPO Workspace o mapa de relações e o registo de atividades permitem manter as três coisas juntas.
Fonte oficial:Garante per la protezione dei dati personali — Newsletter n. 554 del 23 ottobre 2026Fonte oficial:Garante per la protezione dei dati personali — provvedimento n. 746 del 7 ottobre 2026 [doc. web 10310707]Fonte oficial:Garante per la protezione dei dati personali — provvedimento n. 747 del 7 ottobre 2026 [doc. web 10310391]Procura uma ferramenta para o seu trabalho de EPD?
O DPO Workspace foi construído por um DPO certificado. 30 dias de experiência gratuita.
Começar gratuitamente
