De vermogensbeheerafdeling van Morgan Stanley kreeg een boete van $35 miljoen voor gegevensbescherming

De vermogensbeheerafdeling van Morgan Stanley, Morgan Stanley Smith Barney (MSSB), is door de Amerikaanse Securities and Exchange Commission (SEC) getroffen met een boete van $35 miljoen voor wat de toezichthouder omschrijft als “verbazingwekkende” tekortkomingen op het gebied van de bescherming van klantgegevens.

De SEC zegt dat MSSB sinds 2015 en gedurende een periode van vijf jaar er niet in is geslaagd de persoonlijk identificeerbare informatie (PII) van ongeveer 15 miljoen klanten te beschermen.

Het bedrijf zou meerdere keren een verhuis- en opslagbedrijf hebben ingeschakeld zonder “ervaring of expertise” op het gebied van gegevensvernietigingsdiensten om duizenden harde schijven en servers met de PII van miljoenen MSSB-klanten buiten gebruik te stellen.

Uit het SEC-onderzoek bleek dat het verhuisbedrijf duizenden van dergelijke servers en harde schijven, nog steeds vol met niet-versleutelde klantgegevens en andere PPI, aan een derde partij verkocht, die vervolgens online werden verkocht.

Bovendien zegt de SEC dat het bedrijf er niet in is geslaagd de PPI te beschermen en de informatie over consumentenrapporten op de juiste manier te verwijderen, omdat het een hardware-vernieuwingsprogramma onderging.

De toezichthouder voegt eraan toe dat uit een oefening die het bedrijf tijdens dit ontmantelingsproces heeft uitgevoerd, is gebleken dat 42 servers, die allemaal mogelijk niet-versleutelde klant-PII en consumentenrapportinformatie bevatten, ontbraken.

De SEC zegt dat MSSB ook heeft vernomen dat de lokale apparaten die buiten gebruik worden gesteld, waren uitgerust met encryptiemogelijkheden, maar dat het bedrijf er jarenlang niet in was geslaagd de encryptiesoftware te activeren.

Het vermogensbeheerbedrijf gaf de bevindingen van de SEC niet toe, noch ontkende het, maar stemde ermee in de boete van $35 miljoen volledig te betalen om de aanklacht te vereffenen.

Gurbir Grewal, directeur van de SEC-handhavingsdivisie, zegt: “De mislukkingen van de MSSB in deze zaak zijn verbazingwekkend. Klanten vertrouwen hun persoonlijke informatie toe aan financiële professionals in de wetenschap en verwachting dat deze beschermd zullen worden, en MSSB schoot daarin jammerlijk tekort.

“Als deze gevoelige informatie niet goed wordt beveiligd, kan deze in verkeerde handen terechtkomen en rampzalige gevolgen hebben voor beleggers.”