Vad som hände
En anställd hos Poste Italiane hittade, efter att hennes egen låneansökan avslagits, uppgifter om sin ekonomiska situation på en plattform som vissa anställda hade tillgång till: nettoinkomst och pågående åtaganden. Hennes klagomål inledde utredningen. Genom beslut nr 746 och 747 av den 7 oktober 2026, som tillkännagavs i nyhetsbrevet den 23 oktober, påförde Garante Poste Italiane 48 000 euro och Deutsche Bank 33 000 euro.
Kärnan är inte plattformen utan förhållandet mellan bolagen. Poste tog emot ansökningar och förmedlade genom att välja den lämpligaste produkten; Deutsche Bank prövade självständigt kreditvärdigheten och beslutade om lånet. Varje bolag bestämde alltså själv ändamål och medel: för Garante agerade de som självständigt personuppgiftsansvariga, i strid med vad avtalen formellt angav.
De två överträdelserna
- Poste Italiane hade inte informerat sökande tillräckligt om behandlingen vid marknadsföring och förmedling, särskilt om mottagare och informationsflöden till banken.
- Deutsche Bank hade inte korrekt angett Poste Italianes roll som mottagare och självständigt personuppgiftsansvarig; banken ska anpassa sin information inom sex månader.
- Under utredningen raderade båda klagandens uppgifter; Poste uppdaterade sin information och banken instruerade personalen att begränsa person- och kreditupplysningar i kommunikationen.
Garante påminde om att informationen tydligt, fullständigt och begripligt ska ange vem som behandlar uppgifterna, för vilka ändamål och till vem de lämnas ut: korthet får inte leda till att väsentliga uppgifter utelämnas.
Kontrollen för klienter som förmedlar eller säljer andras produkter
Byråer, förmedlare, säljnätverk, jämförelsetjänster, utlämningsställen: lägg avtalet med partnern bredvid det som faktiskt händer. Vem väljer produkten? Vem beslutar om utfallet? Vem får använda uppgifterna för egen del? Beslutar var och en själv finns det två personuppgiftsansvariga, och ett biträdesavtal (art. 28) håller inte. Öppna sedan informationen: den ska säga att uppgifter går till partnern, i vilken roll och till vad.
Roller väljs inte genom att skriva in dem i avtalet: de följer av vem som bestämmer ändamål och medel (art. 4.7 GDPR). Ett avtal som beskriver ett annat förhållande än det verkliga skyddar ingen av parterna; det leder till felaktig information, vilket är precis vad som sanktionerades här.
Anteckna i klientakten för varje affärspartner den verkliga rollen (självständigt eller gemensamt personuppgiftsansvarig, biträde), dokumentet som reglerar den och avsnittet i informationen som anger den. I DPO Workspace håller relationskartan och registerförteckningen ihop de tre.
Officiell källa:Garante per la protezione dei dati personali — Newsletter n. 554 del 23 ottobre 2026Officiell källa:Garante per la protezione dei dati personali — provvedimento n. 746 del 7 ottobre 2026 [doc. web 10310707]Officiell källa:Garante per la protezione dei dati personali — provvedimento n. 747 del 7 ottobre 2026 [doc. web 10310391]Söker du ett verktyg för ditt arbete som dataskyddsombud?
DPO Workspace är byggt av ett certifierat dataskyddsombud. 30 dagar gratis.
Börja gratis
