最新处罚：AEPD 因安全措施不足对 CaixaBank 罚款 500 万欧元

2023 年 10 月 26 日，西班牙数据保护机构 (AEPD) 在第 PS/00020/2023 号诉讼中公布了其决定，对 CaixaBank SA (CaixaBank) 处以 500 万欧元罚款，原因是其违反《通用数据保护条例》（GDPR）。

决定的背景

AEPD指出CaixaBank的客户投诉CaixaBank未遵守个人数据保密规定。该投诉涉及一份与第三方转账有关的文件，其中包括了第三方、转账发起人和接收人的个人数据。投诉人在个人数据泄露后获得了这份文件，而 CaixaBank 花了一年零四个月的时间才解决这个问题。

AEPD的发现

AEPD解释称，CaixaBank没有保证个人数据在处理过程中的充分安全，并否认存在风险。此外，AEPD得出结论称，CaixaBank未遵守隐私设计原则，因为他们没有专注于个人的基本权利和自由，并且没有提供足够的程序来处理数据保护投诉。

AEPD参考了他们的“隐私设计指南”，其中指出，“隐私设计”要求采取积极主动的态度，而 CaixaBank 在处理数据保护投诉的方式上却采取了被动的态度。最后，AEPD还发现 CaixaBank未能履行采用适当技术和安全措施的义务，以保证个人数据的安全水平适合风险。AEDPD认定 CaixaBank 违反了 GDPR 第 5(1)(f)、25 和 32 条：

第5(1)(f):以确保个人数据适度安全的方式处理，包括使用适当的技术或组织措施来避免未经授权、非法处理、意外遗失、灭失或损毁的保护措施（“完整性和机密性")。