Erste banka kažnjena s 1,5 mil. eura zbog kršenja privatnosti podataka

Agencija za zaštitu osobnih podataka (AZOP) izrekla je kaznu od 1,5 milijuna eura Erste banci zbog višestrukog kršenja Opće uredbe o zaštiti podataka (GDPR). Utvrđeno je da je banka putem svoje aplikacije za mobilno bankarstvo nezakonito obrađivala osobne podatke više od 430 tisuća klijenata.

Postupak je pokrenut nakon prijave jednog od korisnika, koji je primijetio sumnjivo ponašanje aplikacije na svom mobilnom uređaju. AZOP je potom proveo nadzor nad aplikacijama Erste banke na uređajima s operativnim sustavima Android i Huawei.

Prema nalazima Agencije, aplikacija je skenirala sadržaj mobilnih uređaja i izrađivala popis imena instaliranih aplikacija i programa, a ti su podaci bili arhivirani u sustavu banke.

Načelnik Sektora za nadzor, istrage, tehnologije i sigurnost AZOP-a Mario Milner rekao je da banka nije dokazala postojanje zakonite pravne osnove za takvu obradu podataka.

– Radilo se o imenu i nazivu aplikacija i programskih rješenja instaliranih na uređaju, a za takvu obradu nisu dokazali postojanje pravne osnove iz članka 6. Opće uredbe o zaštiti podataka, izjavio je Milner.

Erste: Aplikacija služi zaštiti klijenata i sprječavanju prijevara

Iz Erste banke poručuju da se rješenje koristi isključivo radi zaštite klijenata i sprječavanja prijevara te da je isto rješenje implementirano u svim državama u kojima posluje Erste grupa, bez ranijih prigovora regulatora.

U priopćenju navode da je sustav namijenjen detekciji potencijalne kompromitacije uređaja i pokušaja preuzimanja korisničkih računa.

– Samo u posljednjih 12 mjeseci upotrebom tog rješenja spriječeno je oko 1100 pokušaja prijevarnih radnji, u potencijalnom iznosu od oko 2 milijuna eura, poručili su iz banke.

Tijekom poslijepodneva aplikacije Erste banke privremeno nisu bile u funkciji. 

Stalni sudski vještak za telekomunikacije Đuro Lubura smatra da se u ovom slučaju ne radi nužno o izrazito osjetljivim podacima, ali upozorava da je svako prikupljanje podataka izvan nužnog okvira ozbiljan problem.

– Kazna nije ni blizu maksimalne koja je mogla biti izrečena. Ovo je više upozorenje bankama i drugima da takve prakse više ne koriste, rekao je Lubura. Naglasio je i da privole koje korisnici daju prilikom instalacije aplikacija moraju biti jednostavne i potpuno razumljive svakom korisniku.

Slijedi upravni spor

Rješenje o kazni još nije pravomoćno, a Erste banka najavila je pokretanje upravnog spora pred nadležnim sudom. Ovo je trinaesta kazna koju je AZOP izrekao u 2025. godini, a ukupni iznos svih kazni sada iznosi 6,72 milijuna eura.

Priopćenje Agencije za zaštitu osobnih podataka

- Utvrđeno je da banka bez pravne osnove obrađuje osobne podatke 433 922 ispitanika putem programskog rješenja ugrađenog u aplikaciju mobilnog bankarstva, izvijestila je Agencija za zaštitu osobnih podataka ne navodeći ime banke.

- Riječ je o programu za Android i Huawei operativne sustave koji skenira sadržaj mobilnog uređaja te prenosi i pohranjuje, među ostalim, popis svih instaliranih aplikacija i programa u centraliziranu bazu podataka banke, što predstavlja izrazit, prekomjeran i neopravdan upliv u privatnost, pojasnili su.

Nakon zaprimanja predstavke ispitanika koji je naveo da se prilikom korištenja mobilnog bankarstva prikupljaju popisi svih instaliranih aplikacija i programa na mobilnim uređajima klijenata, AZOP je pokrenuo postupak po službenoj dužnosti zbog moguće obrade osobnih podataka koja nije u skladu s Općom uredbom o zaštiti podataka.

Banka je tijekom postupka navodila da pravna osnova proizlazi iz Delegirane uredbe i Zakona o platnom prometu, no navedeni propisi ne sadrže formulaciju niti intenciju koja bi opravdala prikupljanje i pohranjivanje popisa svih instaliranih aplikacija.

Također, korisnicima prilikom ugovaranja usluge mobilnog bankarstva nisu pružene transparentne informacije o obradi osobnih podataka putem aplikacije, a ta se obrada spominje tek vrlo šturo.

AZOP je utvrdio da banka nije primijenila odgovarajuće tehničke i organizacijske mjere kako bi se obrađivali samo nužni podaci te da je mogla implementirati rješenje koje manje zadire u privatnost, primjerice pohranu samo aplikacija s tzv. "crne liste".

Posebno je istaknuto da se tom obradom mogu otkriti i posebne kategorije osobnih podataka.

To je trinaesta upravna novčana kazna koju je Agencija izrekla u 2025. godini, a ukupan iznos kazni iznosi 6.723.000 eura.