O regulador impôs uma multa de um milhão de randes ao First National Bank (FNB) após descobrir que uma função incorretamente configurada no aplicativo FNB permitiu que 696 clientes visualizassem pedidos de hipoteca de outras 88 pessoas. Além disso, o banco não corrigiu esse erro, apesar de dois avisos de clientes.
A multa está relacionada à violação da Seção 105 da Lei de Proteção de Dados Pessoais (Popia), que regula o manuseio inadequado de números de contas bancárias. Nove das 88 pessoas afetadas tiveram os números de suas contas divulgados. O regulador anunciou a multa em 27 de outubro; no mesmo dia, foi anunciada uma multa de 500.000 randes para o Central Johannesburg TVET College.
Detalhes da Violação de Acesso
De acordo com a notificação de execução forçada, assinada pelo presidente do regulador, Pansi Tlakulala, e datada de 21 de outubro, alguns titulares de contas foram erroneamente classificados como funcionários do FNB. Isso lhes deu acesso ao aplicativo bancário a uma lista de nomes e números de identificação de pessoas com pedidos de hipoteca pendentes. Clicar no nome abria o pedido completo, contendo dados de contato, endereço físico, informações de renda e salário, e em alguns casos, números de conta.
O cliente notificou o FNB pela primeira vez sobre a possibilidade de visualizar pedidos de outros clientes em 30 de março de 2022. Um segundo cliente relatou o mesmo problema em 3 de maio de 2022. Em ambos os casos, o regulador determinou que o FNB revogou o acesso dessa pessoa, mas considerou o relato como um incidente isolado, e não como uma violação de dados pessoais, e não o comunicou ao regulador. O regulador só interveio após receber uma reclamação em setembro de 2022.
Na notificação, o regulador declarou: "O FNB não corrigiu essa vulnerabilidade de privacidade de dados mesmo após dois avisos de duas partes que sabiam que não deveriam ter acesso a tais dados pessoais". Ele caracterizou o trabalho do FNB com esses incidentes como "indiferente" e questionou por quanto tempo as informações permaneceriam expostas se o regulador não tivesse intervindo.
Consequências do Vazamento de Dados
O regulador observou que as informações divulgadas colocam os clientes afetados em risco de roubo de dados pessoais, fraude de troca de cartão SIM e tentativas de burlar verificações bancárias de 'conheça seu cliente'. O risco era agravado pelo fato de que dados de bureaus de crédito de vazamentos anteriores na Experian e TransUnion já circulavam na rede, o que criminosos poderiam combinar com os dados do FNB para criar perfis de vítimas mais completos.
A notificação vai além do vazamento no aplicativo. O regulador também descobriu que o FNB não pode justificar legalmente a coleta de informações pessoais de jornais com base na seção Popia na qual ele se apoiava. O banco coleta tais informações principalmente para verificar pessoas politicamente expostas — indivíduos que ocupam cargos públicos proeminentes e que os bancos são obrigados a verificar mais rigorosamente de acordo com as regras de combate à lavagem de dinheiro. O regulador decidiu que o jornal não é um "registro público", conforme definido na lei. Agora, o FNB deve documentar se alguma outra base legal permite a coleta de tais dados e cessar a coleta se não houver tal base.
O cronograma de retenção de registros do FNB também permitia manter certos dados pessoais, incluindo certificados fiscais anulados de funcionários e registros de valores mobiliários, indefinidamente sem indicar uma base legal. O banco é obrigado a nomear uma empresa de gestão de registros para destruir tais documentos e fornecer ao regulador um certificado de destruição.
Além disso, o regulador ordenou que o FNB alterasse seu aviso de privacidade, pois ele se baseia em fundamentos como "interesse legítimo" para a troca de informações de clientes que não são exceções válidas para processamento posterior de acordo com a Popia, e não lista todos os direitos dos clientes sob a lei. O FNB deve fornecer ao regulador provas de conformidade dentro de 90 dias e tem 30 dias para apelar da notificação de execução forçada.
Hangi Mbedzi, gerente sênior executivo do regulador para Popia, informou a SABC News que as multas refletem a gravidade das violações e os riscos que elas representam para as pessoas afetadas. A TechCentral contatou o FNB para obter comentários, incluindo informações sobre a intenção do banco de contestar a notificação de execução forçada.
