Datatilsynet giver alvorlig kritik, påbud og advarsel i sagen om Dansk Retursystem pant-app

Sagen kort

I juli 2022 startede Datatilsynet en sag mod Dansk Retursystem på eget initiativ, da deres pant-app angiveligt behandlede oplysninger om brugernes bankkonti, saldi og lån. Undersøgelsen viste, at appen brugte en tredjepartskomponent til at indhente kontooplysninger for at sikre korrekt udbetaling, men at denne også kunne få adgang til saldi, identitetsoplysninger og transaktionshistorik, uden at disse data blev delt med Dansk Retursystem.

Datatilsynet har nu truffet afgørelse og kritiserer Dansk Retursystem for at bryde GDPR-reglerne om lovlighed, gennemsigtighed, dataminimering og databeskyttelse gennem design. Virksomheden har fået påbud om at bringe deres behandling af personoplysninger i overensstemmelse med reglerne senest den 2. januar 2025.

Datatilsynet udtaler
“Datatilsynet har forståelse for, at mange applikationer i dag er sammensat af kodebiblioteker, funktionel kode, API'er og systemintegrationer, der ikke hidrører fra den dataansvarliges egen organisation. Når man får udviklet en app, fritager det dog ikke den dataansvarligefor det grundlæggende ansvar for at overholde reglerne i GDPR" - Allan Frank, it-sikkerhedsspecialist og jurist i Datatilsynet.

Du kan læse mere og finde selve afgørelsen på Datatilsynets hjemmeside her