Banka u Hrvatskoj kažnjena s 1,5 milijuna eura zbog nadziranja svojih korisnika preko aplikacije

Agencija za zaštitu osobnih podataka izrekla je upravnu novčanu kaznu od 1.500.000 eura banci zbog višestrukih kršenja odredbi Opće uredbe o zaštiti podataka (GDPR). Ovo je trinaesta kazna koju je Agencija izrekla u 2025. godini, a ukupni iznos svih kazni ove godine dosegao je 6.723.000 eura.

Postupak je pokrenut nakon predstavke jednog korisnika koji je ukazao da mobilna aplikacija banke prikuplja popis svih instaliranih aplikacija i programa na njegovom mobilnom uređaju. Agencija je utvrdila da banka obrađuje osobne podatke čak 433.922 korisnika putem programskog rješenja implementiranog u aplikaciju mobilnog bankarstva za Android i Huawei operativne sustave.

Prema nalazu Agencije, banka je prikupljala i pohranjivala popis svih instaliranih aplikacija u centraliziranu bazu podataka, što predstavlja prekomjeran i neopravdan upliv u privatnost korisnika. Pravna osnova koju je banka navodila, Delegirana uredba i Zakon o platnom prometu, nije opravdavala ovakvu praksu.

Agencija je također utvrdila da korisnicima nije pružena dovoljna i jasna informacija o obradi njihovih podataka prilikom preuzimanja i korištenja aplikacije. Informacije koje su bile dostupne putem poveznice na internetskoj stranici banke nisu se odnosile na mobilnu aplikaciju, pa su korisnici praktički ostali u neznanju o tome koji se podaci prikupljaju i za koju svrhu.

Uz to, banka nije primijenila tehničke i organizacijske mjere koje bi osigurale obradu samo nužnih i proporcionalnih podataka. Primjerice, rješenje bi moglo prikupljati podatke samo o aplikacijama koje predstavljaju sigurnosni rizik, umjesto popisa svih instaliranih programa, čime bi se značajno smanjio utjecaj na privatnost korisnika.

Agencija posebno ističe da prikupljeni podaci mogu otkrivati i osjetljive informacije o korisnicima, uključujući podatke o zdravlju, političkim ili vjerskim uvjerenjima te seksualnoj orijentaciji. Ova kazna još jednom podsjeća banke i druge financijske institucije na važnost poštivanja GDPR-a, transparentnog informiranja korisnika i primjene rješenja koja ne narušavaju privatnost.