Úřad pro ochranu osobních údajů (ÚOOÚ) provedl v penzijním fondu Komerční banky (KB Penzijní společnost, a.s. vlastněná ze 100 % Komerční bankou) na základě podnětu kontrolu dodržování povinností stanovených zákonem o ochraně osobních údajů.
Ten v jednom ze svých paragrafů říká, že: Správce a zpracovatel jsou povinni přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů.
Kontrola probíhala od 29. července 2013 do 24. září 2013 a souvisela s událostí, kdy jeden z klientů banky nedopatřením odhalil chybu v zabezpečení aplikace internetového bankovnictví.
Umožnila mu procházet seznam zájemců o produkty penzijního fondu Komerční banky. Databáze obsahovala jména, rodná čísla, adresy bydliště, e-maily i záznamy o tom, jak se klienti chovali na schůzkách nebo jak reagovali na telefonáty. Takto přístupné byly údaje o necelých 50 tisících osobách.
Banka tehdy vysvětlovala incident jako technickou chybu na straně externího dodavatele a ujišťovala, že bankovní účty klientů nebyly kompromitovány. Současně prý nedošlo k úniku informací o již uzavřených smlouvách o penzijním spoření nebo o stavu prostředků na účtech klientů.
Faktem ale je, že chyba umožnila dostat se k osobním údajům téměř 50 tisíc klientů a nikdo nedokáže s určitostí říci, jak dlouho chyba v systému byla, a kolik lidí se k citlivým osobním údajům dostalo.
Záhy poté, co byl případ medializován, ÚOOÚ oznámil, že se jím bude zabývat. Vzhledem k tomu, že kontrolní protokol konstatoval porušení povinnosti vyplývající z ustanovení zákona o ochraně osobních údajů dle § 13 odst. 1., čeká penzijní fond Komerční banky správní řízení.
Na jeho konci pak může být tučná pokuta. Banka by mohla dostat pokutu až ve výši několika milionů korun – záleží na tom, podle jakých paragrafů zákona o ochraně osobních údajů bude ÚOOÚ postupovat.
