EOS Matrix, en kroatisk inkassobyrå, har bötfällts för bristande efterlevnad av GDPR. Inom branschen köper ett inkassoföretag hela portföljer av NPL, non performing loans, från banker och andra kreditinstitut.
All korrespondens och all dokumentation om lånet överförs från säljaren till köparen, och antalet lån kan lätt uppgå till hundratusentals i en enda portfölj.
Den kroatiska tillsynsmyndigheten, AZOP, fann att EOS Matrix inte hade kontroll över informationen de portföljer som mottagits.
För det första hade EOS inte implementerat tillräckliga tekniska åtgärder för att få kontroll över informationen.
För det andra behandlades personuppgifter om personer som inte var gäldenärer, vilket är normalt i korrespondens mellan enskilda individer.
EOS behandlade också hälsodata utan laglig grund och AZOP drog slutsatsen att behandling av hälsodata inte beskrivs i företagets integritetspolicy.
Som ett resultat av den bristande efterlevnaden får EOS böter på 5 740 000 euro, vilket måste ses som en relativt hög sanktionsavgift med tanke på EOS ringa närvaro på den kroatiska marknaden.
AZOP har också öppnat upp för registrerade att kräva skadestånd, vilket ytterligare ökar den negativa finansiella effekten på EOS.
Kontroll av information är central i GDPR och en aktiv inventering av köpta informationstillgångar, oavsett om det är en NPL-portfölj eller ett helt företag, är avgörande för att både kunna säkerställa och kunna bevisa efterlevnad och nödvändiga förmågor enligt GDPR.
Hade EOS använt Aigine för att göra en inventering av de mottagna tillgångarna skulle de proaktivt kunnat vidta åtgärder på de punkter som tillsynsmyndigheten tagit upp.
Läs mer:
https://edpb.europa.eu/news/national-news/2023/croatian-sa-imposed-administrative-fine-data-controller-debt-collection_en
