De Roemeense privacytoezichthouder ANSPDCP heeft een kredietverstrekker in het land wegens een datalek met een Excel-bestand een boete van 10.000 euro opgelegd. Het bedrijf heeft volgens de toezichthouder artikel 32 van de AVG overtreden. Het gaat dan specifiek om lid vier, waarin staat dat iedere natuurlijke persoon die handelt onder het gezag van de verwerkingsverantwoordelijke of van de verwerker en toegang heeft tot persoonsgegevens, deze slechts in opdracht van de verwerkingsverantwoordelijke verwerkt.

Volgens de toezichthouder is dat bij kredietverstrekker niet gebeurd, waardoor een Excel-bestand met de persoonlijke informatie van 509 personen voor iedereen op internet toegankelijk was. Het ging om voornaam, achternaam, burgerservicenummer, telefoonnummer, identiteitskaartnummer, e-mailadres, bankgegevens, vastgoedaankopen, burgerlijke staat, gevraagd kredietbedrag van klanten en hun levenspartner.

De getroffen personen werden echter nooit over het datalek ingelicht, zo ontdekte de privacytoezichthouder. Verder bleek tijdens het onderzoek dat het bedrijf zonder toestemming niet-noodzakelijke cookies bij bezoekers van de eigen website plaatste. Voor deze laatste twee overtredingen kreeg de kredietverstrekker alleen een waarschuwing. Voor de overtreding met de verwerking van persoonsgegevens legde de toezichthouder een boete van 10.000 euro op.