Danske Bank politianmeldt: Står til millionbøde

Danske Bank har haft så store problemer med at overholde databeskyttelsesreglerne, at banken nu er løbet ind i en politianmeldelse fra Datatilsynet, som samtidig har indstillet banken til en bøde på 10 mio. kr.

Ifølge tilsynet har landets største bank ikke kunnet dokumentere, at den har slettet personoplysninger i overensstemmelse med reglerne for databeskyttelse, oplyser Datatilsynet i en pressemeddelelse.

»Ét af grundprincipperne i GDPR er, at man kun må behandle oplysninger, man har brug for - og når man ikke har brug for dem længere, skal de slettes. Når det handler om en organisation af Danske Banks størrelse, der har mange og komplekse systemer, er det særlig afgørende, at man samtidig kan dokumentere, at sletningen rent faktisk sker,« udtaler Kenni Elm Olsen, specialkonsulent i Datatilsynet, i pressemeddelelsen.

Politianmeldelsen kommer, efter at Datatilsynet i slutningen af 2020 indledte en sag på baggrund af, at Danske bank havde oplyst, at den opbevarede nogle personoplysninger længere end nødvendigt.

Undersøgelsen fra Datatilsynet har vist, at Danske Bank »i mere end 400 systemer ikke har kunnet dokumentere, at der var fastsat regler for sletning og opbevaring af personoplysninger, eller at der er foretaget manuel sletning af personoplysninger. I disse systemer behandles der personoplysninger om flere millioner personer«.

Danske Bank oplyser i en pressemeddelelse, at den løbende arbejder på at sikre, at systemerne opfylder kravene til opbevaring og sletning af personoplysninger.

»Det er først og fremmest vigtigt for mig at understrege, at vores kunders data er sikre og har været det hele tiden. Som vi tidligere har fortalt, har visse personoplysninger dog desværre været opbevaret længere end nødvendigt, og det skulle naturligvis ikke være sket,« udtaler Bo Svejstrup, der er underdirektør og chief technology officer i Danske Bank.

»Vi har igennem hele forløbet haft en god dialog med Datatilsynet. Vi har dog også måttet erkende, at opgaven er meget kompleks, og at implementering af slettefrister i visse systemer har vist sig tidskrævende. Vi tager nu Datatilsynets indstilling til efterretning og fortsætter opgaven med at slette de oplysninger, som vi ikke længere har et formål med at opbevare, mens vi afventer sagens udfald,« lyder det videre fra Bo Svejstrup.